Jibbering Musings » Don't serve JSON as text/html
Another day, another XSS flaw, this one in Google again, but this is a little more interesting than the normal ones, what this one shows is how JSON results add an extra vector to attack that might be missed by your QA team. The problem here was that the JSON was returned with a mime-type of text/html, a browser will render that as if it was an HTML page, even if it's really just a javascript snip
ã€ãƒã‚¦ãƒ„ー】å³ãƒ‡ãƒ—ãƒã‚¤å¯èƒ½ãªWebサービスを簡å˜æ§‹ç¯‰ã€ã€ŒEnunciateã€ã‚’試㙠(1) Enunciateã¨ã¯? | エンタープライズ | マイコミジャーナル
Enunciateã¨ã¯ã€Ryan Heatonæ°ã«ã‚ˆã‚Šé–‹ç™ºãŒé€²ã‚られã¦ã„ã‚‹Webサービスフレームワークã§ã‚る。2007å¹´3月ã«ãƒãƒ¼ã‚¸ãƒ§ãƒ³1.0ãŒå‡ºãŸã°ã‹ã‚Šã®çœŸæ–°ã—ã„プãƒãƒ€ã‚¯ãƒˆã 。 Webサービス関連ã®ãƒ•ãƒ¬ãƒ¼ãƒ ワークã¨è¨€ã†ã¨ã€Axisã‚„XFireãŒæœ‰åã ãŒã€Enunciateã¯ãã†ã—ãŸã€ŒWebサービスã®å®Ÿè¡Œç’°å¢ƒã‚’æä¾›ã™ã‚‹ãƒ•ãƒ¬ãƒ¼ãƒ ワークã€ã§ã¯ãªã„。Enunciateプãƒã‚¸ã‚§ã‚¯ãƒˆã§ã¯Enunciateを「Webサービス・デプãƒã‚¤ãƒ¡ãƒ³ãƒˆãƒ»ãƒ•ãƒ¬ãƒ¼ãƒ ワークã€ã¨ä½ç½®ä»˜ã‘ã¦ã„る。 Webサービスデプãƒã‚¤ãƒ¡ãƒ³ãƒˆãƒ•ãƒ¬ãƒ¼ãƒ ワークã«ã¤ã„ã¦å¹³ãŸã説明ã™ã‚‹ãªã‚‰ã°ã€ã€Œ(1)完全ãªãƒ‰ã‚ュメントを備ãˆã€(2)相互é‹ç”¨æ€§ã«å„ªã‚Œã€(3)ã™ãã«ãƒ‡ãƒ—ãƒã‚¤å¯èƒ½ã€ã¨ã„ã†3ã¤ã®æ¡ä»¶ã‚’ä½µã›æŒã¤Webサービスをã€ã‚½ãƒ¼ã‚¹ã‚³ãƒ¼ãƒ‰ã‚’基ã«è‡ªå‹•çš„ã«æ§‹ç¯‰ã™ã‚‹ã€ãŸã‚ã®ãƒ•ãƒ¬ãƒ¼ãƒ ワークã§ã‚る。ã¤ã¾ã‚Šã¯ã€Webサービスを構築ã™ã‚‹éš›ã«å¿…è¦ãªä½œæ¥ã®ã†ã¡ã€ã‚½ãƒ¼ã‚¹ã‚³ãƒ¼
1
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
処ç†ã‚’実行ä¸ã§ã™
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
{{#tags}}- {{label}}
{{/tags}}