æ–‡å—コードã®ã‚»ã‚ュリティå•é¡Œã¯ã©ã†å¯¾ç–ã™ã¹ãã‹: U+00A5を用ã„ãŸXSSã®å¯èƒ½æ€§ - 徳丸浩ã®æ—¥è¨˜(2009-03-11)_U+00A5を用ã„ãŸXSSã®å¯èƒ½æ€§ å‰å›žã®æ—¥è¨˜ã§ã¯ã€æ˜¨å¹´ã®Black Hat Japanã«ãŠã‘ã‚‹é•·è°·å·é™½ä»‹æ°ã®è¬›æ¼”ã«ã€Œè¶£å‘³ã¨å®Ÿç›Šã®æ–‡å—コード攻撃(講演資料)ã€ã«åˆºæ¿€ã•ã‚Œã‚‹å½¢ã§ã€Unicodeã®å††è¨˜å·U+00A5ã«ã‚ˆã‚‹SQLインジェクションã®å¯èƒ½æ€§ã«ã¤ã„ã¦æŒ‡æ‘˜ã—ãŸã€‚ ã¯ã›ãŒã‚æ°ã®å…ƒè³‡æ–™ã§ã¯ãƒ‘ストラãƒãƒ¼ã‚µãƒ«ã®å¯èƒ½æ€§ã‚’指摘ã—ã¦ãŠã‚‰ã‚Œã‚‹ã®ã§ã€æ®‹ã‚‹è„†å¼±æ€§ãƒ‘ターンã¨ã—ã¦ã‚¯ãƒã‚¹ã‚µã‚¤ãƒˆãƒ»ã‚¹ã‚¯ãƒªãƒ—ティング(XSS)ã®å¯èƒ½æ€§ãŒã‚ã‚‹ã‹ã©ã†ã‹ãŒãšã£ã¨æ°—ã«ãªã£ã¦ã„ãŸã€‚独自ã®èª¿æŸ»ã«ã‚ˆã‚Šã€XSS攻撃ã®èµ·ç‚¹ã¨ãªã‚‹ã€Œ<ã€ã‚„「"ã€ã€ã€Œ'ã€ãªã©ã«ã¤ã„ã¦ã€Œå¤šå¯¾ä¸€ã®å¤‰æ›ã€ãŒã•ã‚Œã‚‹æ–‡å—を探ã—ã¦ããŸãŒã€ç¾å®Ÿçš„ãªWebアプリケーションã§å‡ºç¾ã—ãã†ãªçµ„ã¿åˆã‚ã›ã¯è¦‹ã¤ã‘られã¦ã„ãªã„。 一方ã€U+00A5ãŒå‡¦ç†ç³»ã«ã‚ˆã£ã¦ã¯0x5C「\ã€ã«å¤‰æ›ã•ã‚Œã‚‹ã“ã¨ã«èµ·å› ã—ã¦XSSãŒç™ºç”Ÿã™ã‚‹å¯èƒ½æ€§ã¯ã‚る。JavaScriptãŒã‹ã‚‰ã‚€å ´åˆãŒãã‚Œã 。ã—ã‹ã—ã€
https://labs.cybozu.co.jp/blog/kazuho/archives/2007/03/re_sessionsafe_implementing.php
フィードリーダーã®è„†å¼±æ€§ã¾ã‚ã‚Šã®ã“ã¨
https://labs.cybozu.co.jp/blog/kazuho/archives/2007/01/jsonp-security.php
{{#tags}}- {{label}}
{{/tags}}