Masato Kinugawa Security Blog: エンコーディングã®åˆ‡ã‚Šæ›¿ãˆã«ã‚ˆã‚‹Self-XSSを考ãˆã‚‹Shift_JISã«ã™ã‚‹ã¨ã€UTF-8ã§ã²ã‚‰ãŒãªã®ã€Œãã€ã‚’構æˆã™ã‚‹ã€Œ0xE3818Fã€ã®å…ˆé 2ãƒã‚¤ãƒˆãŒã€ã¾ãšã€Œç¸º(0xE381)ã€ã¨ã„ã†æ–‡å—ã¨è§£é‡ˆã•ã‚Œã€æ®‹ã£ãŸã€Œ0x8Fã€ãŒã€å¾Œç¶šã®ã€äºŒé‡å¼•ç”¨ç¬¦ã®ã‚¨ã‚¹ã‚±ãƒ¼ãƒ—シーケンスã§ã‚る「\(0x5C)ã€ã¨ï¼‘ã¤ã®æ–‡å—ã€ã€Œå(0x8F5C)ã€ã‚’作ã£ã¦ã—ã¾ã†ã®ã§ã™ã€‚ã“ã‚Œã«ã‚ˆã‚Šã€ã‚¨ã‚¹ã‚±ãƒ¼ãƒ—シーケンスãŒãªããªã£ãŸäºŒé‡å¼•ç”¨ç¬¦ã¯ã€ãã“ã§æ–‡å—列リテラルを閉ã˜ã‚‹ã“ã¨ã«ãªã‚Šã¾ã™ã€‚ã“ã†ã—ã¦ã€ãã®å¾Œã‚ã«æ›¸ã‹ã‚ŒãŸã‚¢ãƒ©ãƒ¼ãƒˆãŒå‹•ã„ã¦ã—ã¾ã†ã¨ã„ã†è¨³ã§ã™ã€‚ ã¤ã¾ã‚Šã“ã‚Œã¯ã€æ”»æ’ƒè€…ã«èª˜å°Žã•ã‚Œã€ãƒ¦ãƒ¼ã‚¶ãƒ¼è‡ªèº«ãŒæ–‡å—エンコーディングを切り替ãˆãŸå ´åˆã€æœ¬æ¥XSSãŒãªã„ページã§ã‚‚XSSãŒèµ·ã“ã›ã‚‹å ´åˆãŒã‚ã‚‹ã¨ã„ã†ã“ã¨ã§ã™ã€‚ IE以外ã®ãƒ–ラウザã¯ã€è¦ªãƒ•ãƒ¬ãƒ¼ãƒ ã®ã‚¨ãƒ³ã‚³ãƒ¼ãƒ‡ã‚£ãƒ³ã‚°ã‚’変更ã—ãŸå ´åˆã€ã‚¯ãƒã‚¹ãƒ‰ãƒ¡ã‚¤ãƒ³ã§ã‚‚åフレームã®ã‚¨ãƒ³ã‚³ãƒ¼ãƒ‡ã‚£ãƒ³ã‚°ã¾ã§å¤‰æ›´ã™ã‚‹ã®ã§ã€ã“ã‚“ãªèª˜å°Žã®ä»•æ–¹ã‚‚ã§ãã¾ã™ã€‚ http://l0.c
www\.google\.com ã«å˜åœ¨ã™ã‚‹æ–‡å—エンコード切り替ãˆã«ã‚ˆã‚‹Self-XSS - A602
{{#tags}}- {{label}}
{{/tags}}