Googleã®JSON(モドã‚)ã®å…ˆé ã«while(1); ãŒã¤ãç†ç”± - 葉ã£ã±æ—¥è¨˜ãªãœGoogleã¯JSONã®å…ˆé ã« while(1); ã‚’ã¤ã‘ã‚‹ã®ã‹ #JavaScript #HTML #Ajax #StackOverflow - Qiita ã“ã‚Œã¯ã‚¯ãƒã‚¹ã‚µã‚¤ãƒˆãƒ»ãƒªã‚¯ã‚¨ã‚¹ãƒˆãƒ»ãƒ•ã‚©ãƒ¼ã‚¸ã‚§ãƒªå¯¾ç–。é•ã†ã‚ˆï¼å…¨ç„¶é•ã†ã‚ˆï¼ 攻撃者ã®ä½œæˆã—ãŸç½ ページã«ã¦JSONã‚’<script src="target.json">ã¿ãŸã„ã«èªã¿è¾¼ã‚“ã§ã€ã‚´ãƒ‹ãƒ§ã‚´ãƒ‹ãƒ§ã‚„ã‚‹ã“ã¨ã§JSON内ã®æ©Ÿå¯†æƒ…å ±ã«æ”»æ’ƒè€…ãŒã‚¢ã‚¯ã‚»ã‚¹å¯èƒ½ã¨ã„ã†ã®ã¯åˆã£ã¦ã‚‹ã‘ã©ã€ãれを「クãƒã‚¹ã‚µã‚¤ãƒˆãƒ»ãƒªã‚¯ã‚¨ã‚¹ãƒˆãƒ»ãƒ•ã‚©ãƒ¼ã‚¸ã‚§ãƒªã€ã¨ã¯è¨€ã‚ãªã„。無ç†ã«ä½•ã‹åå‰ã‚’ã¤ã‘ã¦å‘¼ã¶ã¨ã™ã‚Œã°ã€ã€ŒJSON Hijackingã€ã¨ã„ã†ä¿—称やã€ã‚ã‚‹ã„ã¯å˜ç´”ã«ã‚¯ãƒã‚¹ã‚µã‚¤ãƒˆã§ã®æƒ…å ±æ¼ãˆã„ã€ç¨‹åº¦ã§ã™ã‹ã。 ã¡ãªã¿ã«ã€ArrayコンストラクタやObjectã§ã®ã‚¢ã‚¯ã‚»ã‚µã‚’定義ã—ã¦JSONã‚’JSã¨ã—ã¦èªã¿è¾¼ã‚“ã§å†…部ã«ã‚¢ã‚¯ã‚»ã‚¹ã™ã‚‹æ‰‹æ³•ã¯ã€ç¾åœ¨ã®ã¨ã“ã‚å…¬ã«ã•ã‚Œã¦ã„ã‚‹ã¨ã“ã‚ã§ã¯å¤
PHPã®ã‚¤ã‚¿ã„入門書をèªã‚“ã§Ajaxã®XSSã«ã¤ã„ã¦æ¤œè¨Žã—ãŸ(3)～JSONç‰ã®æƒ³å®šå¤–èªã¿å‡ºã—ã«ã‚ˆã‚‹æ”»æ’ƒï½ž - ockeghem(徳丸浩)ã®æ—¥è¨˜
ã¯ã¦ãªã‚°ãƒ«ãƒ¼ãƒ—ã®çµ‚了日を2020å¹´1月31æ—¥(金)ã«æ±ºå®šã—ã¾ã—㟠- ã¯ã¦ãªã®å‘ŠçŸ¥
{{#tags}}- {{label}}
{{/tags}}