画像ファイルによるクロスサイト・スクリプティング(XSS)傾向と対策
補足 この記事は旧徳丸浩の日記からの転載です（元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2）。 備忘のため転載いたしますが、この記事は2007年12月6日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 補足終わり 最近、画像ファイルを用いたクロスサイト・スクリプティングが注目されている。本稿では、画像を悪用したXSSについて説明した後、対策方法について解説する。 画像によるXSSとはどのようなものか Internet Explorer(IE)の特性として、コンテンツの種類を判別する際に、レスポンスヘッダ内のContent-Typeだけでなく、コンテンツの内容も判断基準にしている。このため、Content-Typeが例えばimage/gif(GIF画像)となっていても、中身がHTMLであればHTMLと解釈して表示する。
MT で nofollow プラグインを無効にすると危険 | 水無月ばけらのえび日記
セキュリティホールmemo (www.st.ryukoku.ac.jp)より、「Movable Type Security Bug (www.zackvision.com)」。MT 3.3 にクロスサイトスクリプティング脆弱性があるそうで。 MT に詳しいりゅうさん (rryu.sakura.ne.jp)に聞いてみたのですが、どうも設計に問題があるようですね。 MT では、コメントの設定で「HTMLの利用を許可」することができるようになっています。そのときは任意の HTML が書けるわけではなくて、ホワイトリストに無いタグを全て除去するというサニタイズが行われます。 ※ホワイトリストは自由に設定できますが、デフォルトでは a, b, i, br, p, strong, em, ul, ol, li, blockquote, preが許可されています。 ところが、その処理は何故か本体ではなく
無料で使い捨ての電話番号がもらえる『CraigsNumber』 | 100SHIKI
悪用されないように・・・という感じではありますが、革命的なのでご紹介。 CraigsNumberでは使い捨ての電話番号をもらうことができます。 使い方は簡単で、どれぐらいの期間でその番号を使えなくさせるか、どの番号に転送するかを選ぶだけです。 あとはその番号をちょっと連絡とらなくてはいけない人にあげるだけでOKです。個人情報なんたらの時代ですから自分を守るためにもしかしたら使えるかもしれないですね。 以前から「Voice 2.0」なるキーワードがささやかれていますが、音声通信という領域にもさまざまな技術革新が起きているっぽいですね・・・。 電話の将来やいかに。いまいちど音声について考えてみる時期かもしれませんね。
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
http://senderid.yutuki.net/