ID非表示

2013/7/22 3:31

1111回答

<script>alert("xss");</script> これであなたもおしまいです。

<script>alert("xss");</script> これであなたもおしまいです。

PHP・30,940閲覧・xmlns="http://www.w3.org/2000/svg">50

その他の回答（10件）

ID非表示

2013/7/29 2:53

PHPカテ歴代回答数1位。

ID非表示

2013/7/22 22:16

一部のプログラムに詳しい人たちの間で盛り上がっているようですねｗ 今現在はすでに対策されていますが、alert"～"自体は"この文字列"をダイアログボックスで表示するだけなので特に問題はありません。 実際にはどういうことなのか試してみたい方は、 ニコニコ動画を見れる「ニコニコあっぷる」というサイトでも同じ症状を確認できます。 http://nicoapple.sub.jp/ 検索ボックスに <script>alert("表示されているかな？");</script> などのスクリプトをコピペして検索をクリックしてみてください。 ダイアログボックスが表示されるだけですがこういうことです。 くれぐれも悪用しないでくださいねｗ 文字列表示だけよｗ

oda********

2013/7/22 20:06（編集あり）

古いブラウザ、Javaのバージョンとはまったく関係ありません。 とりあえず、今日あったことを書いておきます。 今日の午前の段階では、右サイドバーに「あなたが最近見たQ＆A」が表示されていました。 現在は表示するためのコードが削除されており、表示されておりません。 この「最近見た〜」に表示される内容は、サーバー側で書いているのではなく、クライアント側、つまり、InternetExplorerやChrome、Firefox、Safariのローカルストレージという所に閲覧履歴が貯められており、それを表示するようになってました。 これをサーバー側でやりたくない理由があるのか、面倒くさかったのか、この方法でもちゃんとやれば問題ないと言えば問題ないので、その判断は各自に委ねますが、致命的に駄目だったのは、質問のタイトルの中にHTMLのタグが混じっていても対処していなかったため、質問のタイトルに悪意あるJavaScriptが埋め込めるようになってしまっていたのです。 これにより、他人のセッションを奪ったり、つまり成り済ましなどが可能になるわけです。 本質問や、質問者をいつもオバマ大統領にする、ブラウザ内の文章が崩れ落ちていく、ようないたずらがありましたが、それらは無害であり、ローカルストレージを消去、ローカルストレージの意味が分からないのであれば履歴消去で影響はなくなるものでした。 ＃ただ、本当に悪意のある人がいたら、今頃カードで何かを買われたとか、現金が引き出されているわけですが、運良く今回は、私も含め、悪意がある人はいなかった、ということです。 http://yhgn.hatenablog.com/entry/2013/07/22/063619

ID非表示

2013/7/22 14:29

これは脆弱性をついた攻撃みたいなものですかね。 古いブラウザの方は要注意してください。 脆弱性は怖いですね。

12次へ

10件