必要なのはブラウザだけ。Python使ったWebサービス構築（処理を書いてみよう編） - 今日学んだこと
前回の続きです。前回までで画面を表示するところまでできたので、 ・画面から値を受け取る ・受け取った値をDBに格納する ・DBの値を画面に出力する と、アプリとしての基本動作ができるようにします。 ＜前々回＞ ＜前回＞ やっぱりタイトルって重要ですな・・・ 画面からの値を受け取る 前回は素のHTMLを書いただけだったので、値をサーバーに飛ばせる様にします。formのプロパティとしてPOSTを指定してあげます。 ＜参考：GETとPOST＞ 画面からサーバーに値を渡す方法として、主に2通りあります。それがgetとpostです。 getは、URLに値を含めてしまう方法。http://hoge.com/?foo=varといったようなURLを見たことがあるかと思います。foo=varの部分が値ですね。foo項目の値はvarだよ、みたいな。 メリットとしては、値をURLとして指定できるのでリンク張る時
IE8以前はHTMLフォームでファイル名とファイルの中身を外部から指定できる
一昨日のエントリ『書籍「気づけばプロ並みPHP」にリモートスクリプト実行の脆弱性』にて、ファイル送信フォームに対するCSRF攻撃の文脈で、私は以下のように書きました。 通常のHTMLフォームを使ったCSRF攻撃では、Content-Typeをmultipart/form-dataにすることまでは可能ですが、ファイルの中身とファイル名を指定する方法がありません。従って、HTMLフォームによる攻撃経路はありません。 大半の方は、「ああ、そうだよね」という感じでお読みいただいたように思いますが、昨日サイバーディフェンス研究所の福森大喜さんから、「それIE8以前ならできるよ」と教えていただきました。福森さんの許可を得て、以下にPoCを公開します。 <form enctype="multipart/form-data" action="pro_add_check.php" method="POST"
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
