PHPã®display_errorsãŒæœ‰åŠ¹ã ã¨ã‚«ã‚¸ãƒ¥ã‚¢ãƒ«ã«XSS脆弱性ãŒå…¥ã‚Šè¾¼ã‚€å…ˆã«ã€ã€ŒCVE-2008-5814を巡る冒険ã€ã«ã¦ã€CVE-2008-5814脆弱性ãŒã‚ã‚‹ã¨display_errorsãŒOnã®ç’°å¢ƒä¸‹ã§XSS脆弱性ã¨ãªã‚‹å ´åˆãŒã‚ã‚‹ã“ã¨ã‚’説明ã—ã¾ã—ãŸã€‚ã—ã‹ã—ã€display_errorsãŒOnã®ç’°å¢ƒä¸‹ã§ã¯CVE-2008-5814脆弱性ãŒãªãã¦ã‚‚ã€XSS脆弱性ã¨ãªã‚‹å ´åˆãŒã—ã°ã—ã°ã‚ã‚Šã¾ã™ã€‚ ã“ã‚Œã¯ã€display_errorsã«ã‚ˆã‚‹ã‚¨ãƒ©ãƒ¼ãƒ¡ãƒƒã‚»ãƒ¼ã‚¸è¡¨ç¤ºãŒHTMLエスケープã•ã‚Œã¦ã„ãªã„ã“ã¨ãŒåŽŸå› ã§ã™ã€‚ç°¡å˜ãªã‚µãƒ³ãƒ—ルを以下ã«ç¤ºã—ã¾ã™ã€‚ <?php ini_set('display_errors', 1); // display_errorsを有効ã«ã™ã‚‹ $a = array(); // é…列ã®ç”Ÿæˆ $index = $_GET['x']; // é…列ã®ã‚¤ãƒ³ãƒ‡ãƒƒã‚¯ã‚¹ã‚’å¾—ã‚‹ $b = $a[$index]; // é…列ã®è¦ç´ ã«ã‚¢ã‚¯ã‚»ã‚¹ ã“ã®ã‚¹ã‚¯ãƒªãƒ—トã«ã€x=<sc
悪ã„サニタイズã€è‰¯ã„(?)サニタイズã€ãã—ã¦ä¾‹å¤–処ç†
SE・プãƒã‚°ãƒ©ãƒžãŒçŸ¥ã£ã¦ã‚‹ã¨ä¾¿åˆ©ãªè„†å¼±æ€§ãƒã‚§ãƒƒã‚¯ãƒ„ール 5 㤠| ãƒã‚·ãƒ£ãƒã‚°ã€‚
ã¯ã¦ãªã‚°ãƒ«ãƒ¼ãƒ—ã®çµ‚了日を2020å¹´1月31æ—¥(金)ã«æ±ºå®šã—ã¾ã—㟠- ã¯ã¦ãªã®å‘ŠçŸ¥
Evernote ã® XSS 脆弱性ã«é–¢ã—㦠mala æ°ã®ã¤ã¶ã‚„ã
ã¯ã¦ãªã‚°ãƒ«ãƒ¼ãƒ—ã®çµ‚了日を2020å¹´1月31æ—¥(金)ã«æ±ºå®šã—ã¾ã—㟠- ã¯ã¦ãªã®å‘ŠçŸ¥
1分ã§ã‚ã‹ã‚‹ã€ŒX-ナントカã€HTTPレスãƒãƒ³ã‚¹ãƒ˜ãƒƒãƒ€ - 葉ã£ã±æ—¥è¨˜
X-Content-Type-Options: nosniff ã¤ã‹ã‚ãªã„ã‚„ã¤ã¯æ»ãã°ã„ã„ã®ã«! - 葉ã£ã±æ—¥è¨˜
Geekãªãºãƒ¼ã˜ : ãƒ¡ã‚¿æƒ…å ±ã«ã‚ˆã‚‹XSS
XSS (Cross Site Scripting) Cheat Sheet
第7回■文å—エンコーディングãŒç”Ÿã¿å‡ºã™ãœã„弱性を知る
Pixy: XSS and SQLI Scanner for PHP
{{#tags}}- {{label}}
{{/tags}}