Shibuya.XSS techtalk #7 ã®è³‡æ–™ã§ã™ã€‚
明日ã‹ã‚‰ä½¿ãˆã‚‹?! PATHã§XSSã™ã‚‹æŠ€è¡“/ Shibuya.XSS techtalk #7
Shibuya.XSS techtalk #7 ã®è³‡æ–™ã§ã™ã€‚
XSSã¨ã‚»ã‚ュリティリスクã¨æ£ã—ã„è„†å¼±æ€§å ±å‘Šã®ã‚ã‚Šæ–¹ - 最速転è·ç ”究会
é©å½“ XSSãŒã‚ã‚‹=ãªã‚“ã§ã‚‚やり放題ã§ã¯ãªã„ ブãƒã‚°ã‚µãƒ¼ãƒ“スãªã©è‡ªç”±ã«HTMLã‚’ã‹ã‘るよã†ãªã‚µãƒ¼ãƒ“スã§ã¯ã€å®³ãŒåŠã°ãªã„よã†ã«è¡¨ç¤ºã‚’丸ã”ã¨åˆ¥ã®ãƒ‰ãƒ¡ã‚¤ãƒ³ã«åˆ†ã‘ã¦ã„ãŸã‚Šã€ã‚ã‚‹ã„ã¯åˆ¥ãƒ‰ãƒ¡ã‚¤ãƒ³ã®IFRAME内ã§å®Ÿè¡Œã—ãŸã‚Šã—ã¦ã„ã‚‹ã®ãŒæ™®é€šã§ã™ã€‚å€‹äººæƒ…å ±ã‚’é ã‹ã£ã¦ã‚‹ã‚µã‚¤ãƒˆã¯ã€é‡è¦å€‹äººæƒ…å ±ã«ã¤ã„ã¦ã¯HTTPSã˜ã‚ƒãªã„ã¨å‚ç…§ã§ããªã‹ã£ãŸã‚Šã€ãã‚‚ãも表示ã—ãªã‹ã£ãŸã‚Š(パスワードやカード番å·ç‰)ã€æ±ºæ¸ˆç”¨ã®ãƒ‘スワードや暗証番å·ã‚’入れãªã„ã¨æ“作ã§ããªã‹ã£ãŸã‚Šã™ã‚‹ã€‚ å‚考ã¾ã§ã« http://blog.bulknews.net/mt/archives/001274.html (2004å¹´ã®ã‚¢ãƒ¡ãƒ–ãƒè„†å¼±æ€§ã®è©±) http://d.hatena.ne.jp/yamaz/20090114 (ä¿¡é ¼ã§ããªã„データをå–り扱ã†ãƒ‰ãƒ¡ã‚¤ãƒ³ã‚’分ã‘る話) 管ç†ç”¨ã¨åˆ¥ãƒ‰ãƒ¡ã‚¤ãƒ³ã«åˆ†ã‘ãŸã«ã‚‚é–¢ã‚らãšã€script実行ã§ãã‚‹ã“ã¨ã«å¯¾ã—ã¦DISられ
TechCrunch | Startup and Technology News
Tech sovereignty has become a looming priority for a number of nations these days, and now, with the demand for compute power at its highest level yet, a startup working… It’s not the sexiest of subject matters, but someone needs to talk about it: The CFO tech stack — software used by the chief financial officers of the world — is ripe for disruption. That’s according to Jonathan Sanders, CEO and
Twitter is 10
I bet 10 years ago none of us thought that 140 characters would change the landscape of Social Media quite so much. However, with close to 289,000,000 active users sending around 6,000 tweets every second Twitter has proven its critics wrong. Obviously,  having gotten over the fact that 10 years of Twitter makes us all feel very old, we had to do something to mark this special day and we have had
mixi日記ã«ã€Œ&ã€ã£ã¦æ›¸ã“ã†ã¨æ€ã£ãŸã‚‰å¤§å¤‰ã
å‹äººã® mixi 日記ã«ã‚³ãƒ¡ãƒ³ãƒˆã‚’ã¤ã‘㦠ãã®å¾Œã©ã†ã‚‚話ãŒã‹ã¿ã‚ã‚ãªã„ãªã€ã¨æ€ã£ãŸã‚‰ mixi 日記ã®è¨˜äº‹ã‚„コメントã§ã¯æ–‡å—å‚ç…§ãŒä½¿ãˆã‚‹ã‚“ã§ã™ã。 何も考ãˆãšã«å…¥åŠ›ã—ãŸã‹ã‚‰æ™®é€šã«å¤‰æ›ã•ã‚Œã¦ã—ã¾ã£ã¦ãŸã€‚ æ–‡å—å‚ç…§ã¨ã„ã†ã®ã¯ã€ ã‚ーボードã‹ã‚‰ã¯ç›´æŽ¥å…¥åŠ›ã§ããªã‹ã£ãŸã‚Š 実ã¯ã§ãã‚‹ã‘ã©æ™®é€šã¯çŸ¥ã‚‰ãªã‹ã£ãŸã‚Šã™ã‚‹ã‚ˆã†ãªæ–‡å—ã‚„ HTML ã®ç‰¹æ€§ã®éƒ½åˆã§ãã®ã¾ã¾æ›¸ã„ã¦ã¯ãƒžã‚ºã„æ–‡å—ã‚’ 別ã®æ–¹æ³•ã§å‚ç…§ã™ã‚‹ãŸã‚ã®ã‚‚ã®ã§ã™ã。 å‰è€…ã¯ä¾‹ãˆã°ã€ŒÂ¾ã€ã¨ã‹ã€ŒÂ«ã€ã¨ã‹ã€‚ 「¾ã€ã¯ã€Œ¾ã€ã¾ãŸã¯ã€Œ&fraq34;〠「«ã€ã¯ã€Œ«ã€ã¾ãŸã¯ã€Œ«ã€ 㨠HTML 内ã«æ›¸ã‘ã°ãƒ–ラウザã«ã¯ç›®çš„ã®æ–‡å—ãŒè¡¨ç¤ºã•ã‚Œã¾ã™ã。 後者ã§ã‚ˆã使ã†ã®ã¯ãŸã¨ãˆã°ã€Œ<ã€ã‚„「>ã€ã§ã€ ã“ã‚Œã¯ãã®ã¾ã¾è¨˜è¿°ã—ã¦ã—ã¾ã†ã¨ HTML ã‚¿ã‚°ã®é–‹å§‹ã‚„終了ã¨è§£é‡ˆã•ã‚Œã¦ã—ã¾ã†ã‹ã‚‰ 代ã‚ã‚Šã«ã€Œ<ã€ã‚„「>ã€ã¨æ›¸ãã¾ã™ã。 ã˜ã‚ƒã‚「<
mixiã®ã¿ã‚‡ã†ãªXSSå¯¾ç– - ikepyonã®ã ã‚人間日記
http://www.msng.info/archives/2009/06/caracter_reference_on_mixi_diary.php ã¨è¨€ã†ã®ã‚’見ã¦ã€ç¢ºèªã—ã¦ã¿ãŸã€‚ mixiã§ã¯ã€ã‚³ãƒ¡ãƒ³ãƒˆã‚„日記ã®æœ¬æ–‡ã‚’確èªã™ã‚‹ç”»é¢ãŒå‡ºã¦ãã‚‹ãŒã€å®Ÿéš›ã«æ›¸ãè¾¼ã¿ã™ã‚‹ãŸã‚ã«ã€hiddenフィールドã§ãƒ‡ãƒ¼ã‚¿ã®ã‚„ã‚Šå–ã‚Šã‚’ã‚„ã£ã¦ã„る。ã“ã‚Œã¯ã‚µãƒ¼ãƒã®è² è·ç‰ã‚’考ãˆã¦ã®ã“ã¨ã ã‚ã†ã¨æ€ã‚れる。 ã¨ã„ã†ã“ã¨ã§ã€ã‚³ãƒ¡ãƒ³ãƒˆã‚„日記ã®æœ¬æ–‡ã«ã€Œ&"><&ã€ã‚’入れã¦ã¿ãŸã€‚ ãã†ã™ã‚‹ã¨ã€ç¢ºèªç”»é¢ã§ã¯ä»¥ä¸‹ã®ã‚ˆã†ãªãƒ¬ã‚¹ãƒãƒ³ã‚¹ãŒå¾—られる。 <p>&"><&</p> : <input type="hidden" name="comment_body" value="&"><&" />表示部分ã§ã¯ã€ã€Œ&ã€->「&ã€ã€ã€Œ"ã€->「"ã€ã€ã€Œ<ã€->「<ã€ã€ã€Œ>ã€->「>ã€ã¨å¤‰æ›ã—ã¦
ç‹™ã‚ã‚ŒãŸâ€œã¤ã¶ã‚„ãâ€â€•â€•Twitterã«ä»•æŽ›ã‘られãŸãƒ¯ãƒŠ
Twitterã®ã¤ã¶ã‚„ããŒç‹™ã‚ã‚ŒãŸã€‚ã—ã‹ã—ã€ã“ã‚Œã¯æ°·å±±ã®ä¸€è§’ã‹ã‚‚ã—ã‚Œãªã„。ãã‚Œã ã‘拡大ã—ãŸTwitterã¯ã€ã“ã‚Œã‹ã‚‰ã©ã®ã‚ˆã†ãªæ–¹å‘ã«é€²ã‚“ã§ã„ãã®ã ã‚ã†ã‹ã€‚ 2008å¹´4月23æ—¥ã«æ—¥æœ¬ç‰ˆã‚µãƒ¼ãƒ“スãŒé–‹å§‹ã•ã‚Œã¦ã€ã¾ã‚‚ãªã1周年を迎ãˆã‚‹ãƒŸãƒ‹ãƒ–ãƒã‚°ã‚µãƒ¼ãƒ“ス「Twitterã€ã€‚ç±³comScoreã®èª¿æŸ»ã«ã‚ˆã‚Œã°ã€å…¨ä¸–ç•Œã®Twitterã®ãƒˆãƒ©ãƒ•ã‚£ãƒƒã‚¯ã¯ã“ã“数カ月ã§æ€¥å¢—ã—ã€2月ã«ã¯ä¼¸ã³çŽ‡ãŒ700％を超ãˆãŸã¨ã„ã†ã€‚ã—ã‹ã‚‚ã€çˆ†ç™ºçš„ãªæˆé•·ã®èƒŒæ™¯ã«ã¯ã€å¾“æ¥ã®ä¸»ãªãƒ¦ãƒ¼ã‚¶ãƒ¼å±¤ã§ã‚ã‚‹18～24æ³ã‚ˆã‚Šã‚‚ã€20代後åŠï½ž50代ã®ãƒ¦ãƒ¼ã‚¶ãƒ¼ãŒæ€¥å¢—ã—ã¦ã„ã‚‹ã“ã¨ã‚‚ã‚るよã†ã 。 ãã—ã¦ã€ãƒ¦ãƒ¼ã‚¶ãƒ¼ãŒå¢—ãˆã‚‹ã¨ã¨ã‚‚ã«ã€ã•ã¾ã–ã¾ãªçŠ¯ç½ªã®æ¨™çš„ã«ã‚‚ãªã£ã¦ãã¦ã„る。ã“ã®ã“ã¨ã¯ã€ä»¥å‰ã‚‚ä¼ãˆãŸé€šã‚Šã ãŒã€ãã®æ™‚ã¯æƒ³åƒã—å¾—ãªã„ã»ã©ã®æ€¥å¢—ã¶ã‚Šãªã®ã 。 リンクをむやã¿ã«ã‚¯ãƒªãƒƒã‚¯ã—ã¦ã¯ã„ã‘ãªã„？ 4月12æ—¥ã€ç±³Twitterã¯XSS脆弱性をçªã„ãŸãƒ¯ãƒ¼ãƒ 攻撃をå—ã‘ãŸ
Twitterã®XSS脆弱性を攻撃ã™ã‚‹Mikeyyワームã«æ„ŸæŸ“ã—㟠- F.Ko-Jiã®ã€Œä¸€ç§’後ã¯æœªæ¥ã€
昨日Twitterを使ã£ã¦ã„ãŸã‚‰ã€çªç„¶ã‚¿ã‚¤ãƒ ラインã®è‡ªåˆ†ã®ç™ºè¨€ã«ã€è¦šãˆã®ãªã„英文ãŒæŠ•ç¨¿ã•ã‚Œã¦ã„ã‚‹ã®ã«æ°—ã¥ãã¾ã—ãŸã€‚ã¾ã•ã‹ãƒ‘スワードã§ã‚‚ç›—ã¾ã‚ŒãŸã®ã‹ã¨æ€ã„settingç”»é¢ã‚’見ã¦ã¿ã‚‹ã¨ã€ãƒ—ãƒãƒ•ã‚£ãƒ¼ãƒ«æ¬„ãŒã‹ãªã‚ŠãŠã‹ã—ãªã“ã¨ã«ãªã£ã¦ã„ã¾ã—ãŸã€‚ ã©ã†ã‚„らTwitterã«XSS脆弱性ãŒå˜åœ¨ã—ã¦ã„ã¦ã€ãã®è„†å¼±æ€§ã‚’ã¤ã„ãŸã‚¹ã‚¯ãƒªãƒ—トãŒå®Ÿè¡Œã•ã‚Œã¦ã—ã¾ã£ãŸã‚ˆã†ãªã®ã§ã™ã€‚ ãã®æ”»æ’ƒã‚³ãƒ¼ãƒ‰ã®ä»•çµ„ã¿ã¯ã“ã‚“ãªæ„Ÿã˜ã§ã—ãŸã€‚ プãƒãƒ•ã‚£ãƒ¼ãƒ«ã®ã€ŒNameã€ã« script ã‚¿ã‚°ã‚’ document.write ã§æ›¸ã出ã™ã‚³ãƒ¼ãƒ‰ã‚’è¨å®š ãã®ãƒ¦ãƒ¼ã‚¶ã®ãƒšãƒ¼ã‚¸ã‚’表示ã™ã‚‹ã¨ã‚¹ã‚¯ãƒªãƒ—トãŒå®Ÿè¡Œã•ã‚Œã‚‹ 実行ã•ã‚ŒãŸã‚¹ã‚¯ãƒªãƒ—トã«ã‚ˆã£ã¦ã€å‹æ‰‹ã«ã¤ã¶ã‚„ããŒæŠ•ç¨¿ã•ã‚Œã‚‹ ã•ã‚‰ã«ãƒ—ãƒãƒ•ã‚£ãƒ¼ãƒ«ã®ã€ŒNameã€ã‚„「URLã€ã‚„「背景色ã€ãªã©ãŒæ›¸ãæ›ãˆã‚‰ã‚Œã‚‹ ãã®ãƒ¦ãƒ¼ã‚¶ã®ãƒšãƒ¼ã‚¸ã‚’ä»–ã®ãƒ¦ãƒ¼ã‚¶ãŒè¦‹ã‚‹ã¨ã€ã•ã‚‰ã«æ„ŸæŸ“ ã©ã®ã‚ˆã†ãªã€Œåå‰ã€ãŒè¨å®šã•ã‚Œã¦ã„ãŸã‹ã‚’メモã—忘れã¦ã„ãŸ
Twitter XSS 騒動 - Yaks
(2009/04/12 6：40 pm 追記ã—ã¾ã—ãŸ) (2009/04/12 7：24 pm å†åº¦è¿½è¨˜ã—ã¾ã—ãŸ) å…ˆã»ã©ã‹ã‚‰ Twitter上ã«ã¦ XSS ã®ã‚ˆã‚‹è¢«å®³ãŒå‡ºã¦ã„ã¾ã™ã€‚ æ—¢ã«æµ·å¤–ã®ãƒ–ãƒã‚°ãªã©ã§ã‚‚å–り上ã’られã¦ã„ã¾ã™ã€‚ HOWTO: Remove StalkDaily.com Auto-Tweets From Your Infected Twitter Profile (Twittercsm) Warning: Twitter Hit By StalkDaily Worm (TechCrunch) 既㫠XSS ã®éƒ¨åˆ†ã¯æ”¹ä¿®ã•ã‚Œã¦å¤§åˆ†åŽã¾ã£ãŸã‚ˆã†ã§ã™ãŒã€å¿µã®ãŸã‚ã«æ›¸ã„ã¦ãŠãã¾ã™ã€‚ 内容ã¨ã—ã¦ã¯ã€ 1. StalkDaily.com を宣ä¼ã™ã‚‹ã¤ã¶ã‚„ããŒå‹æ‰‹ã«æŠ•ç¨¿ã•ã‚Œã‚‹ 2. プãƒãƒ•ã‚£ãƒ¼ãƒ«ã® Web ãŒæ”¹ã–ã‚“ã•ã‚Œã‚‹ 3. 改ã–ã‚“ã•ã‚ŒãŸãƒ¦ãƒ¼ã‚¶ãƒ¼ã®ãƒšãƒ¼ã‚¸ã‚’見るã¨ã€è‡ªåˆ†ã®ãƒ—ãƒãƒ•ã‚£ãƒ¼ãƒ«ã‚‚
世間ã®èªè˜ã¨è„…å¨ãƒ¬ãƒ™ãƒ«ã®ã‚®ãƒ£ãƒƒãƒ—――XSSã¯æœ¬å½“ã«å±ãªã„ã‹ï¼Ÿ
皆ã•ã‚“ã“ã‚“ã«ã¡ã¯ã€å·å£ã§ã™ã€‚コラムã®ç¬¬6回「IPSã¯â€œé”法ã®ç®±â€ã‹ã€ã§ã¾ã£ã¡ã‚ƒï¼‘３９ã§è¬›æ¼”ã‚’ã—ãŸãŠè©±ã‚’書ãã¾ã—ãŸãŒã€ä»Šåº¦ã¯é–¢æ±ã§ã‚„ã£ã¦ã„る「ã¾ã£ã¡ã‚ƒï¼”４５ã€ã«ãŠæ‹›ãã„ãŸã ãã€ãŠè©±ã—ã—ã¦ãã¾ã—ãŸã€‚ ã¾ã£ã¡ã‚ƒï¼”４５ã¯å‹Ÿé›†é–‹å§‹ã‹ã‚‰å®šå“¡ãŒåŸ‹ã¾ã‚‹ã¾ã§ãŒã¨ã¦ã‚‚速ãã€ä»Šã¾ã§å‚åŠ ã—ãŸã“ã¨ãŒãªã‹ã£ãŸã®ã§ã™ãŒã€ä»Šå›žã¯é‹è‰¯ã（？）講師å´ã¨ã„ã†ã“ã¨ã§ã‚ャンセル待ã¡ã«ãªã‚‰ãšã«å‚åŠ ã™ã‚‹ã“ã¨ãŒã§ãã¾ã—ãŸã€‚ãƒãƒƒã‚¯ã‚ªãƒ³ã®ç¦ç”°ã•ã‚“ãŒã‚ªãƒ¼ãƒ—ンソースã®ECサイト構築システム「EC-CUBEã€ã«è„†å¼±ï¼ˆãœã„ã˜ã‚ƒã）性ãŒç™ºè¦‹ã•ã‚ŒãŸéš›ã®ã‚¤ãƒ³ã‚·ãƒ‡ãƒ³ãƒˆãƒãƒ³ãƒ‰ãƒªãƒ³ã‚°ã®ãŠè©±ã‚’ã•ã‚Œã¦ã„ã¾ã—ãŸã€‚EC-CUBEã«SQLインジェクションã¨ã‚¯ãƒã‚¹ã‚µã‚¤ãƒˆã‚¹ã‚¯ãƒªãƒ—ティング（以下ã€XSS）ãŒç™ºè¦‹ã•ã‚ŒãŸã‚ã¨ã®å¯¾å¿œã®ãŠè©±ã§ã™ã€‚JSOCã§æ—¥ã€…インシデントã«ã‹ã‹ã‚ã£ã¦ã„ã‚‹ã„る自分ã¨ã—ã¦ã¯ã¨ã¦ã‚‚興味深ã„内容ã§ã—ãŸã€‚ 日本ã®ã‚¨ãƒ³ã‚¸ãƒ‹ã‚¢ã®ã‚»ã‚ュリティæ„è˜ã¯éŽå‰°ï¼Ÿ 今回ã®ã‚ˆã†
Cross Site Scripting Prevention - OWASP Cheat Sheet Series
Introduction Index Alphabetical Index ASVS Index MASVS Index Proactive Controls Index Top 10 Cheatsheets Cross Site Scripting Prevention Cheat Sheet¶ Introduction¶ This cheat sheet helps developers prevent XSS vulnerabilities. Cross-Site Scripting (XSS) is a misnomer. Originally this term was derived from early versions of the attack that were primarily focused on stealing data cross-site. Since t
æ–‡å—コードã®ã‚»ã‚ュリティå•é¡Œã¯ã©ã†å¯¾ç–ã™ã¹ãã‹: U+00A5を用ã„ãŸXSSã®å¯èƒ½æ€§ - 徳丸浩ã®æ—¥è¨˜(2009-03-11)
_U+00A5を用ã„ãŸXSSã®å¯èƒ½æ€§ å‰å›žã®æ—¥è¨˜ã§ã¯ã€æ˜¨å¹´ã®Black Hat Japanã«ãŠã‘ã‚‹é•·è°·å·é™½ä»‹æ°ã®è¬›æ¼”ã«ã€Œè¶£å‘³ã¨å®Ÿç›Šã®æ–‡å—コード攻撃(講演資料)ã€ã«åˆºæ¿€ã•ã‚Œã‚‹å½¢ã§ã€Unicodeã®å††è¨˜å·U+00A5ã«ã‚ˆã‚‹SQLインジェクションã®å¯èƒ½æ€§ã«ã¤ã„ã¦æŒ‡æ‘˜ã—ãŸã€‚ ã¯ã›ãŒã‚æ°ã®å…ƒè³‡æ–™ã§ã¯ãƒ‘ストラãƒãƒ¼ã‚µãƒ«ã®å¯èƒ½æ€§ã‚’指摘ã—ã¦ãŠã‚‰ã‚Œã‚‹ã®ã§ã€æ®‹ã‚‹è„†å¼±æ€§ãƒ‘ターンã¨ã—ã¦ã‚¯ãƒã‚¹ã‚µã‚¤ãƒˆãƒ»ã‚¹ã‚¯ãƒªãƒ—ティング(XSS)ã®å¯èƒ½æ€§ãŒã‚ã‚‹ã‹ã©ã†ã‹ãŒãšã£ã¨æ°—ã«ãªã£ã¦ã„ãŸã€‚独自ã®èª¿æŸ»ã«ã‚ˆã‚Šã€XSS攻撃ã®èµ·ç‚¹ã¨ãªã‚‹ã€Œ<ã€ã‚„「"ã€ã€ã€Œ'ã€ãªã©ã«ã¤ã„ã¦ã€Œå¤šå¯¾ä¸€ã®å¤‰æ›ã€ãŒã•ã‚Œã‚‹æ–‡å—を探ã—ã¦ããŸãŒã€ç¾å®Ÿçš„ãªWebアプリケーションã§å‡ºç¾ã—ãã†ãªçµ„ã¿åˆã‚ã›ã¯è¦‹ã¤ã‘られã¦ã„ãªã„。 一方ã€U+00A5ãŒå‡¦ç†ç³»ã«ã‚ˆã£ã¦ã¯0x5C「\ã€ã«å¤‰æ›ã•ã‚Œã‚‹ã“ã¨ã«èµ·å› ã—ã¦XSSãŒç™ºç”Ÿã™ã‚‹å¯èƒ½æ€§ã¯ã‚る。JavaScriptãŒã‹ã‚‰ã‚€å ´åˆãŒãã‚Œã 。ã—ã‹ã—ã€
perl - Encodeã§XSSを防ã : 404 Blog Not Found
2009å¹´03月03æ—¥19:00 カテゴリLightweight Languages perl - Encodeã§XSSを防ã 良記事。 第7回■文å—エンコーディングãŒç”Ÿã¿å‡ºã™ãœã„弱性を知る：ITpro ã ã‘ã©ã€å•é¡Œç‚¹ã®ã¿å…·ä½“例ãŒã‚ã£ã¦ã€å¯¾ç–ã«ãªã„ã®ãŒç‰‡æ‰‹è½ã¡ã«æ„Ÿã˜ã‚‰ã‚ŒãŸã®ã§ã€ãã®ç‚¹ã‚’補足。 çµè«–ã ã‘言ã£ã¦ã—ã¾ãˆã°ã€Perlãªã‚‰ä»¥ä¸‹ã®åŽŸå‰‡ã‚’守るã ã‘ã§ã™ã€‚ 404 Blog Not Found:perl - Encode 入門 ã™ã§ã«OSCONã§ã‚‚YAPCã§ã‚‚ã€ã‚ã¡ã“ã¡ãã¡ã“ã¡ã§ã“ã®åŸºæœ¬æ–¹é‡ã«é–¢ã—ã¦ã¯è©±ã—ãŸã®ã§ã™ãŒã€ã“ã“ 404 Blog Not Found ã§ã‚‚改ã‚ã¦ã€‚ Perl 㧠utf8 化ã‘ã—ãŸã¨ãã«ã©ã†ã—ãŸã‚‰ã„ã„ã‹ - TokuLog 改゠ã ã¾ã£ã¦ã‚³ãƒ¼ãƒ‰ã‚’書ã‘よãƒã‚²å…¥ã‚Šå£ã§ decode ã—ã¦ã€å†…部ã§ã¯ã™ã¹ã¦ flagged utf8 ã§æ‰±ã„ã€å‡ºå£ã§ encode ã™ã‚‹ã€‚ã“ã‚ŒãŒ
XSSã¯ãã®ã‚µã‚¤ãƒˆã‚’ä¿¡é ¼ã—ã¦ã„る人ãŒå¤šã„ã»ã©è„…å¨ã«ãªã‚Šã†ã‚‹ - ã¼ãã¯ã¾ã¡ã¡ã‚ƒã‚“ï¼(Hatena)
ã¯ã„ï¼ ã“ã‚“ã«ã¡ã¯ï¼ 今日ã¯çã—ãã‚»ã‚ュリティã«ã¤ã„ã¦ä¸€è¨€ã§ã™ï¼ タイトルã«ã‚る通り〠XSSã¯ãã®ã‚µã‚¤ãƒˆã‚’ä¿¡é ¼ã—ã¦ã„る人ãŒå¤šã„ã»ã©è„…å¨ã«ãªã‚Šã†ã‚‹ ã£ã¦ã“ã¨ãªã‚“ã ã‘ã©â€¦ã€‚ã“ã‚Œã ã‘ã ã¨ã€ã‚ãŸã‚Šã¾ãˆã£ã½ã„よã。 ã¾ãšXSS脆弱性ã£ã¦ãªã«ï¼Ÿ ã£ã¦äººã®ãŸã‚ã«ç°¡å˜ã«èª¬æ˜Žã—ã¡ã‚ƒã†ã¨ã€ã“ã‚Œ サイトを作ã£ãŸäººä»¥å¤–ã®äººã§ã‚‚ã€å¥½ããªã‚¹ã‚¯ãƒªãƒ—トを実行ã§ãã¡ã‚ƒã†çŠ¶æ…‹ ã£ã¦ã“ã¨ãªã‚“ã よã。 ã§ã‚‚よã考ãˆã¦ã¿ã¦ã»ã—ã„。 スクリプトãŒå®Ÿè¡Œã§ãる。ã¸ã‚“ãªã‚¹ã‚¯ãƒªãƒ—トãŒå®Ÿè¡Œã•ã‚Œã¡ã‚ƒã†ã‹ã‚‚ã—ã‚Œãªã„ページ。 ã“ã‚Œã£ã¦åˆ¥ã«ã€ã€Œãµã¤ã†ã«ã‚¹ã‚¯ãƒªãƒ—トを許å¯ã•ã‚Œã¦ã„ã‚‹ã€ãã“らã¸ã‚“ã®ãƒ–ãƒã‚°ã‚„ホームページã¨åŒã˜ã€ã˜ã‚ƒãªã„？ ã„ã‚„ã€å¾®å¦™ã«é•ã†ã‹ãªã€‚ é•ã†ç‚¹ã¯ã²ã¨ã¤ã€‚ スクリプトを埋ã‚è¾¼ã‚ã‚‹ã®ãŒã€Œã‚µã‚¤ãƒˆã®ç®¡ç†è€…オンリーã€ãªã®ã‹ã€Œèª°ã§ã‚‚ã€ãªã®ã‹ã®é•ã„ãŒã‚ã‚‹ã‚“ã よã。 … ã˜ã‚ƒã‚ã€ã€Œåã‚‚ãªãサイトã®ç®¡ç†è€…ã€ã¨ã€Œèª°ã§ã‚‚ã€ã®é•ã„ã£ã¦ãªã‚“ã ã‚ã†ï¼Ÿ ãªã‚“ã ã‚
個人ã ã‹ã‚‰ç”˜ã„ã®ã‹ãª - ã¼ãã¯ã¾ã¡ã¡ã‚ƒã‚“ï¼
ã‚らã‚ら予告inãŒXSSやられã¡ã‚ƒã£ãŸã‚‰ã—ã„ã§ã™ãï¼ ä½¿ã„å¤ã•ã‚ŒãŸæ‰‹æ³•ï¼Ÿ ã„ã¾ã©ãエスケープ処ç†ã™ã‚‰ã—ã¦ãªãã¦ãƒ€ã‚µã„？ 関連ã®è¨˜äº‹ã«å¯¾ã—ã¦ã€ã¯ã¦ãªãƒ–ックマークã§ã‚‚色々言ã‚ã‚Œã¦ã„ãŸã‚Šã€ http://b.hatena.ne.jp/t/%E4%BA%88%E5%91%8A.in?threshold=1 ニュースサイトã§ã‚‚ã€ã“ã‚“ãªç…½ã‚Šè¨˜äº‹ã‚’書ã‹ã‚Œã¦ã„ãŸã‚Šã™ã‚‹ã‘ã‚Œã©â€¦ 今回ã®ä»¶ã«ã¤ã„ã¦ITä¼æ¥ã«å‹¤ã‚るエンジニアã«èžã„ã¦ã¿ã‚‹ã¨ã€ 「ã“ã‚Œã¯åˆæ©ä¸ã®åˆæ©ã€‚XSSコード書ã„ãŸæ–¹ã‚‚10分も掛ã‹ã£ã¦ãªã„よ。ãれを事å‰ã«å¯¾ç–ã—ã¦ãªã‹ã£ãŸäºˆå‘Šinã«ã¯ã‚‚ã£ã¨ãƒ“ックリã ã‘ã©ã€ã€ã€ç´ 人ãªã®ï¼Ÿã€ ã¨èªžã‚‹ã€‚ 予告inã‚»ã‚ュリティ脆弱性を狙ã£ãŸã‚³ãƒ¼ãƒ‰!?　「予告in開発者ã¯ç´ 人〠http://news.livedoor.com/article/detail/3759632/ ãã‚Œã£ã¦ã©ã†ã ã‚ã†ã。 Googleã‚„Amazo
XSS (Cross Site Scripting) Cheat Sheet
XSS (Cross Site Scripting) Cheat Sheet Esp: for filter evasion By RSnake Note from the author: XSS is Cross Site Scripting. If you don't know how XSS (Cross Site Scripting) works, this page probably won't help you. This page is for people who already understand the basics of XSS attacks but want a deep understanding of the nuances regarding filter evasion. This page will also not show you how to
TAKESAKO @ Yet another Cybozu Labs: 第1回XSSç¥ã‚Š(サニタイズ勉強会）
ã¤ã„カッã¨ãªã£ã¦ä¼ç”»ã•ã‚ŒãŸç¬¬1回XSSç¥ã‚Šã€ãƒã‚¿ã‹ã¨æ€ã£ã¦ã„ã¾ã—ãŸãŒã€å…ˆæ—¥ã®æ—¥æ›œæ—¥ã«é–‹å‚¬ã•ã‚Œã€ç„¡äº‹çµ‚了ã—ã¾ã—ãŸã€‚ XSS本ã®æ´‹æ›¸ XSS Attacks: Cross Site Scripting Exploits and Defense ãŒæ—¥æœ¬ã«å±Šã„ãŸã®ã§ã€ ã“ã®ã‚¿ã‚¤ãƒŸãƒ³ã‚°ã«æœ€è¿‘ã®XSSã®å‚¾å‘ã‚’æ•´ç†ã—ã¦ã€ãれらã®æ”»æ’ƒã‚’防御ã™ã‚‹æ‰‹æ³•ã«ã¤ã„ã¦ã¿ã‚“ãªã§å‹‰å¼·ã—ã¾ã—ãŸã€‚ 実際ã€æœ¬ã®å†…容ã«ã¯ã‚ã‚“ã¾ã‚Šè§¦ã‚Œãªã‹ã£ãŸã§ã™ã‘ã©ã€‚ãƒã‚¿ã§Anti-Anti-Antiã¨ã‹ã€‚ 終始ã¾ã£ãŸã‚Šã¨ã—ãŸé›°å›²æ°—ã®ä¸ã€å‚åŠ è€…ã®é£›ã³å…¥ã‚Šãƒ—レゼンやSkypeä¸ç¶™ã‚‚ã‚ã£ãŸã‚Šã¨ã€å¤§å¤‰æ¥½ã—ã„勉強会ã§ã—ãŸã€‚ å‚åŠ è€…ãŒå‚åŠ è€…ã ã‘ã«ã€å›½å†…（世界的ã«ã‚‚）最先端ã®è©±ã‚’共有ã™ã‚‹ã“ã¨ãŒã§ãã¦ã€æœ‰æ„義ãªæ™‚é–“ã‚’éŽã”ã™ã“ã¨ãŒã§ãã¾ã—ãŸã€‚ （詳細ã¯ã‚ã¨ã§æ›¸ã。） ã‚ã–ã‚ã–ã€ã“ã®å‹‰å¼·ä¼šã®ãŸã‚ã ã‘ã«æ–°å¹¹ç·šã§ä¸Šäº¬ã•ã‚ŒãŸæ–¹ã‚‚ã„らã£ã—ゃã£ãŸã¨ã®ã“ã¨ã§ã€ ãã®ç†±æ„ã«ã¯æ„Ÿ
XSS - 表示系パラメータã«å˜åœ¨ã™ã‚‹ç›²ç‚¹ :: ã¼ãã¯ã¾ã¡ã¡ã‚ƒã‚“ï¼
ã“ã‚“ã«ã¡ã¯ã“ã‚“ã«ã¡ã¯ï¼ï¼ クãƒã‚¹ã‚µã‚¤ãƒˆã‚¹ã‚¯ãƒªãƒ—ティングã®æ™‚é–“ã§ã™ï¼ XSSã¨ã„ã†ã¨â€¦ï¼ ã¾ã£ã•ãã«æ€ã„ã¤ãã®ãŒã€å…¥åŠ›ãƒ‡ãƒ¼ã‚¿é€ä¿¡ → 確èªè¡¨ç¤ºã®éƒ¨åˆ†ã§ã®ç„¡å®³åŒ–æ¼ã‚Œã§ã™ã‚ˆãï¼ ãŸã¨ãˆã°ã“ã‚“ãªæ„Ÿã˜ã®ãƒ•ã‚©ãƒ¼ãƒ ã‹ã‚‰å—ã‘å–ã£ãŸãƒ‘ラメータを〠確èªã¨ã—ã¦è¡¨ç¤ºã™ã‚‹ãƒšãƒ¼ã‚¸ã¨ã‹ï¼ (入力) <form action="register.cgi" method="post"> タイトル：<input type="text" name="title"> ↠「ã¼ãã¯ã¾ã¡ã¡ã‚ƒã‚“ï¼ã€ã‚’入力 本文：<input type="text" name="body"> ↠「ã“ã‚“ã«ã¡ã¯ã“ã‚“ã«ã¡ã¯ï¼ï¼<script>alert(1)</script>ã€ã‚’入力 </form> (確èª) <p>ã“ã®å†…容ã§ç™»éŒ²ã—ã¦ã„ã„？</p> <p> タイトル： ã¼ãã¯ã¾ã¡ã¡ã‚ƒã‚“ï¼<br> 本文： ã“ã‚“ã«ã¡ã¯ã“ã‚“ã«ã¡ã¯ï¼ï¼<script>alert
SNSãŒXSS攻撃ã®æ ¼å¥½ã®æ¨™çš„ã«â€•â€•F-Secure
MySpaceã‚’ç‹™ã£ãŸæ”»æ’ƒãŒç›¸æ¬¡ã„ã ã“ã¨ã‚’å—ã‘ã€F-SecureãŒã»ã‹ã®äººæ°—SNSを調ã¹ãŸã¨ã“ã‚ã€ãƒ¯ãƒ¼ãƒ 作æˆã«åˆ©ç”¨ã§ãる脆弱性ãŒå¹¾ã¤ã‚‚見ã¤ã‹ã£ãŸã¨ã„ã†ã€‚ 人気ソーシャルãƒãƒƒãƒˆãƒ¯ãƒ¼ã‚ングサイト（SNS）ã®MySpaceを標的ã¨ã—ãŸæ”»æ’ƒãŒç›¸æ¬¡ã„ã§æµ®ä¸Šã™ã‚‹ä¸ã€ã‚»ã‚ュリティä¼æ¥ã®F-Secureã¯ã€ã»ã‹ã®SNSã«ã‚‚ã“ã†ã—ãŸæ”»æ’ƒã«æ‚ªç”¨ã•ã‚Œã‹ããªã„脆弱性ãŒå¤šæ•°å˜åœ¨ã™ã‚‹ã¨å ±å‘Šã—ãŸã€‚ F-Secureã«ã‚ˆã‚‹ã¨ã€Webサイトã«å˜åœ¨ã™ã‚‹ã‚¯ãƒã‚¹ã‚µã‚¤ãƒˆã‚¹ã‚¯ãƒªãƒ—ティング（XSS）ã®è„†å¼±æ€§ã‚’çªã„ãŸWebアプリケーションワームãŒã€æ–°æ‰‹ã®ãƒžãƒ«ã‚¦ã‚§ã‚¢ã¨ã—ã¦æµ®ä¸Šã€‚SNSãŒæ ¼å¥½ã®æ¨™çš„ã«ãªã£ã¦ãŠã‚Šã€MySpaceを標的ã¨ã—ãŸãƒ¯ãƒ¼ãƒ ã¯æ—¢ã«2件出ç¾ã—ã¦ã„ã‚‹ã¨ã„ã†ã€‚ ã“ã®ã†ã¡æ˜¨å¹´10月ã«å•é¡Œã«ãªã£ãŸã€ŒSamyã€ã¯MySpaceã§å‹æ‰‹ã«å‹é”を増やã—ã¦ã—ã¾ã†ãƒ¯ãƒ¼ãƒ 。数日å‰ã«ç™»å ´ã—ãŸã€ŒFlashã€ãƒ¯ãƒ¼ãƒ ã¯Flashã®è„†å¼±æ€§ã‚’çªã„ã¦ã€ãƒ¦ãƒ¼ã‚¶ãƒ¼
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
How to prevent XSS attacks - amix blog
{{#tags}}- {{label}}
{{/tags}}