UTF-7 を使ã£ã¦ã‚¹ã‚¯ãƒªãƒ—トを記述 +ADw-SCRIPT+AD4-alert(\'XSS\');+ADw-+AC8-SCRIPT+AD4- IE ã¯ã€æ–‡å—エンコーディングãŒä¸æ˜Žã§ UTF-7 ã£ã½ã„æ–‡å—列ãŒã‚ã‚Œã°ã€è‡ªå‹•åˆ¤åˆ¥ã§ UTF-7 ã¨ãªã‚‹ã€‚
ãã‚Œ Unicode ã§
UTF-7 を使ã£ã¦ã‚¹ã‚¯ãƒªãƒ—トを記述 +ADw-SCRIPT+AD4-alert(\'XSS\');+ADw-+AC8-SCRIPT+AD4- IE ã¯ã€æ–‡å—エンコーディングãŒä¸æ˜Žã§ UTF-7 ã£ã½ã„æ–‡å—列ãŒã‚ã‚Œã°ã€è‡ªå‹•åˆ¤åˆ¥ã§ UTF-7 ã¨ãªã‚‹ã€‚
Error Messageã«ãŠã‘る最もシンプルãªXSS回é¿æ³• : 404 Blog Not Found
2006å¹´12月02æ—¥04:30 カテゴリLightweight Languages Error Messageã«ãŠã‘る最もシンプルãªXSS回é¿æ³• 404 Blog Not Found:perl+javascript - ã¯ã¦ãƒ–ã¨çŸç¸®URLã®Mashupã®ãƒã‚°ãƒ•ã‚£ãƒƒã‚¯ã‚¹ã€‚ 技術メモ帳 - dankogaiã•ã‚“ã®ã‚¢ãƒ—リã®XSS エラーメッセージを出力ã™ã‚‹ã¨ãã« HTMLエスケープãŒã•ã‚Œã¦ãªã‹ã£ãŸã€‚ 見è½ã¨ã™ã¨ã“ã‚ã ã£ãŸã€‚ã“ã†ã„ã†å ´åˆã¯ã€TBãªã„ã—Commentãªã©ã€å…ƒè¨˜äº‹ã‹ã‚‰ç›´æŽ¥è¦‹ãˆã‚‹å½¢ã§å ±å‘Šã—ã¦æ¬²ã—ã„。 ãã‚‚ãã‚‚text/htmlã¨ã—ã¦è§£é‡ˆã•ã‚Œã¦ã„ã‚‹ã®ã¯ãŠã‹ã—ã„ã¨æ€ã£ã¦headerを見ãŸã‚‰ã€ % HEAD 'http://u.dan.co.jp/r.cgi/<script>alert('easy%20xss');</script>' 500 Internal Server Error Co
XSS - 表示系パラメータã«å˜åœ¨ã™ã‚‹ç›²ç‚¹ :: ã¼ãã¯ã¾ã¡ã¡ã‚ƒã‚“ï¼
ã“ã‚“ã«ã¡ã¯ã“ã‚“ã«ã¡ã¯ï¼ï¼ クãƒã‚¹ã‚µã‚¤ãƒˆã‚¹ã‚¯ãƒªãƒ—ティングã®æ™‚é–“ã§ã™ï¼ XSSã¨ã„ã†ã¨â€¦ï¼ ã¾ã£ã•ãã«æ€ã„ã¤ãã®ãŒã€å…¥åŠ›ãƒ‡ãƒ¼ã‚¿é€ä¿¡ → 確èªè¡¨ç¤ºã®éƒ¨åˆ†ã§ã®ç„¡å®³åŒ–æ¼ã‚Œã§ã™ã‚ˆãï¼ ãŸã¨ãˆã°ã“ã‚“ãªæ„Ÿã˜ã®ãƒ•ã‚©ãƒ¼ãƒ ã‹ã‚‰å—ã‘å–ã£ãŸãƒ‘ラメータを〠確èªã¨ã—ã¦è¡¨ç¤ºã™ã‚‹ãƒšãƒ¼ã‚¸ã¨ã‹ï¼ (入力) <form action="register.cgi" method="post"> タイトル：<input type="text" name="title"> ↠「ã¼ãã¯ã¾ã¡ã¡ã‚ƒã‚“ï¼ã€ã‚’入力 本文：<input type="text" name="body"> ↠「ã“ã‚“ã«ã¡ã¯ã“ã‚“ã«ã¡ã¯ï¼ï¼<script>alert(1)</script>ã€ã‚’入力 </form> (確èª) <p>ã“ã®å†…容ã§ç™»éŒ²ã—ã¦ã„ã„？</p> <p> タイトル： ã¼ãã¯ã¾ã¡ã¡ã‚ƒã‚“ï¼<br> 本文： ã“ã‚“ã«ã¡ã¯ã“ã‚“ã«ã¡ã¯ï¼ï¼<script>alert
オープンソースã®eラーニングシステムã«XSSãªã©ã®è„†å¼±æ€§â€•â€•IPA
オープンソースã®eラーニングCMSアプリケーション「ATutorã€ãŠã‚ˆã³ã€ŒACollabã€ã«ãŠã„ã¦ã€ã‚¯ãƒã‚¹ã‚µã‚¤ãƒˆã‚¹ã‚¯ãƒªãƒ—ティング（XSS）やSQLインジェクションã«é–¢ã™ã‚‹è„†å¼±æ€§ãŒç™ºè¦‹ã•ã‚ŒãŸã€‚ æƒ…å ±å‡¦ç†æŽ¨é€²æ©Ÿæ§‹ã‚»ã‚ュリティセンター（IPA）ãŠã‚ˆã³JPCERTコーディãƒãƒ¼ã‚·ãƒ§ãƒ³ã‚»ãƒ³ã‚¿ãƒ¼ï¼ˆJPCERT/CC）ã¯7月5æ—¥ã€è„†å¼±æ€§æƒ…å ±ã‚µã‚¤ãƒˆJP Vendor Status Notes（JVN）ã«ãŠã„ã¦ã€ã‚ªãƒ¼ãƒ—ンソースã®eラーニングアプリケーション「ATutorã€ãªã©ã«è„†å¼±æ€§ãŒã‚ã‚‹ã“ã¨ã‚’明らã‹ã«ã—ãŸã€‚ã“ã®è„†å¼±æ€§ã‚’çªã‹ã‚Œã‚‹ã¨ã€æƒ…å ±æ¼ãˆã„ã‚„ãªã‚Šã™ã¾ã—を許ã—ã¦ã—ã¾ã†å±é™ºæ€§ãŒã‚る。 脆弱性ãŒç™ºè¦‹ã•ã‚ŒãŸã®ã¯ã€eラーニング用ã®CMS（コンテンツ管ç†ã‚·ã‚¹ãƒ†ãƒ ）ATutorãŠã‚ˆã³ATutorã®ã‚¢ãƒ‰ã‚ªãƒ³ã¨ã—ã¦å‹•ä½œã™ã‚‹ã‚³ãƒ©ãƒœãƒ¬ãƒ¼ã‚·ãƒ§ãƒ³ã‚½ãƒ•ãƒˆã€ŒACollabã€ã€‚ ATutorã§ã¯ã€1.5.2以å‰ã®ãƒãƒ¼ã‚¸ãƒ§ãƒ³ã«ãŠã„ã¦ã€ã‚¯ãƒã‚¹
Yahoo!メールã®è„†å¼±æ€§ã‚’çªã“ゼãƒãƒ‡ã‚¤â€ã‚¦ã‚¤ãƒ«ã‚¹å‡ºç¾ï¼Œãƒ¡ãƒ¼ãƒ«ã‚’é–‹ãã ã‘ã§æ„ŸæŸ“
ã‚»ã‚ュリティ組織ã®ç±³SANS Instituteãªã©ã¯ç¾åœ°æ™‚é–“6月12日，米Yahoo!ãŒæä¾›ã™ã‚‹Webメール・サービスã®è„†å¼±æ€§ï¼ˆã‚»ã‚ュリティ・ホール）をçªã„ã¦æ„ŸæŸ“を広ã’るウイルスãŒå‡ºå›žã£ã¦ã„ã‚‹ã¨ã—ã¦æ³¨æ„を呼ã³ã‹ã‘ãŸã€‚メール本文をèªã‚‚ã†ã¨ã™ã‚‹ã ã‘ã§æ„ŸæŸ“ã—，アドレス・リストã®æƒ…å ±ã‚’ç›—ã¾ã‚Œã‚‹ã¨ã¨ã‚‚ã«ã‚¦ã‚¤ãƒ«ã‚¹ãƒ»ãƒ¡ãƒ¼ãƒ«ã‚’é€ä¿¡ã•ã›ã‚‰ã‚Œã‚‹ã€‚Yahoo!ã§ã¯ç¾åœ¨å¯¾å‡¦ä¸ã§ã‚ã‚‹ã¨ã—ã¦ã„る。 Yahoo!ã®Webメール・サービス（Yahoo!メール）ã«ã¯ï¼Œãƒ¡ãƒ¼ãƒ«ã«ç´°å·¥ãŒæ–½ã•ã‚Œã¦ã„ã‚‹ã¨ï¼Œãƒ¡ãƒ¼ãƒ«æœ¬æ–‡ã‚’é–‹ãã ã‘ã§ï¼Œæ·»ä»˜ã•ã‚ŒãŸHTMLファイルをå‹æ‰‹ã«é–‹ã„ã¦ã—ã¾ã†è„†å¼±æ€§ãŒè¦‹ã¤ã‹ã£ãŸã€‚HTMLファイルã«ã‚¹ã‚¯ãƒªãƒ—ト（JavaScript）ãŒå«ã¾ã‚Œã¦ã„ã‚‹å ´åˆã«ã¯ï¼Œãã®ã‚¹ã‚¯ãƒªãƒ—トもå‹æ‰‹ã«å®Ÿè¡Œã•ã‚Œã¦ã—ã¾ã†ã€‚今回ã®ã‚¦ã‚¤ãƒ«ã‚¹ã¯ã“ã®è„†å¼±æ€§ã‚’悪用ã™ã‚‹ã‚‚ã®ã§ï¼ŒHTMLファイルã«å«ã¾ã‚Œã‚‹ã‚¹ã‚¯ãƒªãƒ—トãŒã‚¦ã‚¤ãƒ«ã‚¹ã®å®Ÿä½“ã§ã‚る。ãªãŠï¼Œä»Šå›žã®è„†å¼±æ€§ã¯
「Yahoo!メールã®ã‚¦ã‚¤ãƒ«ã‚¹ãŒæ‚ªç”¨ã—ãŸã®ã¯ã€ŽXSS脆弱性ã€ï¼Œã‚µã‚¤ãƒˆç®¡ç†è€…ã¯æ³¨æ„ã‚’ã€---専門家ãŒè¦å‘Š
「Yahoo!メールã®ã‚¦ã‚¤ãƒ«ã‚¹ãŒæ‚ªç”¨ã—ãŸã®ã¯ã€ŽXSS脆弱性ã€ï¼Œã‚µã‚¤ãƒˆç®¡ç†è€…ã¯æ³¨æ„ã‚’ã€---専門家ãŒè¦å‘Š 「『Yahoo!メールã€ã‚’ç‹™ã£ãŸã‚¦ã‚¤ãƒ«ã‚¹ã¯ï¼ŒåŒã‚µã‚¤ãƒˆã®ã‚¯ãƒã‚¹ã‚µã‚¤ãƒˆãƒ»ã‚¹ã‚¯ãƒªãƒ—ティング（XSS）脆弱性を悪用ã—ãŸã€‚åŒæ§˜ã®è„†å¼±æ€§ã¯å¤šãã®Webサイトã«å˜åœ¨ã™ã‚‹ã€‚ã“ã®ã‚¦ã‚¤ãƒ«ã‚¹ã®ã‚½ãƒ¼ã‚¹ãƒ»ã‚³ãƒ¼ãƒ‰ã‚‚出回ã£ã¦ã„ã‚‹ã®ã§ï¼Œä»Šå¾Œï¼ŒåŒæ§˜ã®æ”»æ’ƒãŒé »ç™ºã™ã‚‹å¯èƒ½æ€§ã¯é«˜ã„。Webサイトã®ç®¡ç†è€…や開発者ã¯å分ã«æ³¨æ„ã™ã‚‹å¿…è¦ãŒã‚ã‚‹ã€---。京セラコミュニケーションシステムã®ã‚»ã‚ュリティ事æ¥éƒ¨ 副事æ¥éƒ¨é•·ã§ã‚る徳丸浩æ°ã¯6月15日，ITproã®å–æã«å¯¾ã—ã¦è¦å‘Šã—ãŸã€‚ Yahoo!メールã®ã‚¦ã‚¤ãƒ«ã‚¹ã¯â€œå˜ç´”†6月12æ—¥ã”ã‚ã«ç¢ºèªã•ã‚Œã¦ã€ŒYamannerã€ãªã©ã¨å付ã‘られãŸã‚¦ã‚¤ãƒ«ã‚¹ã¯ï¼Œç±³Yahoo!ãŒæä¾›ã™ã‚‹ãƒ¡ãƒ¼ãƒ«ãƒ»ã‚µãƒ¼ãƒ“ス「Yahoo! Mail（Yahoo!メール）ã€ã§æ„ŸæŸ“を広ã’る（関連記事：Yahoo!メールã®è„†å¼±æ€§ã‚’çª
Cookie（クッã‚ー）
Cookie（クッã‚ー）ã¨ã¯ï¼ŒWebアクセスã®ã¨ãã«Webサーãƒãƒ¼ãŒãƒ¦ãƒ¼ã‚¶ãƒ¼ã‚’è˜åˆ¥ã™ã‚‹ãŸã‚ã«ä½¿ã†æ¯”較的å°ã•ãªãƒ†ã‚スト・データã®ã“ã¨ã€‚ç±³ãƒãƒƒãƒˆã‚¹ã‚±ãƒ¼ãƒ—・コミュニケーションズãŒè‡ªç¤¾ã®Webブラウザ/サーãƒãƒ¼ãƒ»ã‚½ãƒ•ãƒˆã«å®Ÿè£…ã—ãŸã®ãŒå§‹ã¾ã‚Šã 。Webサーãƒãƒ¼å´ã§ãƒ¦ãƒ¼ã‚¶ãƒ¼ã‚’è˜åˆ¥ã—ãŸã„ã¨ã，Webページã®ãƒ‡ãƒ¼ã‚¿ã‚’é€å—ä¿¡ã™ã‚‹ã®ã¨ã„ã£ã—ょã«Cookieã‚‚ã‚„ã‚Šã¨ã‚Šã•ã‚Œã‚‹ã€‚ã¾ãŸï¼ŒCookieã‚’ã‚„ã‚Šã¨ã‚Šã™ã‚‹ã—ãã¿ã®ã“ã¨ã‚‚「Cookieã€ã¨å‘¼ã¶ã€‚ Cookieã«ã¯ï¼Œãƒãƒƒãƒˆã‚¹ã‚±ãƒ¼ãƒ—ãŒä½œæˆã—ãŸä»•æ§˜ã®ã»ã‹ã«RFC2965ãŒã‚る。ãŸã ã—，RFC2965ã¯ã‚ã¾ã‚Šä½¿ã‚ã‚Œã¦ã„ãªã„。ã“ã“ã§ã¯ï¼Œãƒãƒƒãƒˆã‚¹ã‚±ãƒ¼ãƒ—ã®ä»•æ§˜ã«ã¤ã„ã¦ç´¹ä»‹ã™ã‚‹ã€‚ ã¾ãšï¼ŒCookieã®ä½¿ã„方を見ã¦ã„ã“ã†ã€‚例ãˆã°ï¼ŒAã•ã‚“ãŒã‚ã‚‹Webサーãƒãƒ¼ã«ãƒ¦ãƒ¼ã‚¶ãƒ¼ç™»éŒ²ã—ãŸã¨ã，Webサーãƒãƒ¼ã¯ãã®å¿œç”メッセージã«ç›¸æ‰‹ãŒAã•ã‚“ã ã¨ã‚ã‹ã‚‹ã‚ˆã†ãªãƒ‡ãƒ¼ã‚¿ã‚’å«ã¾ã›ã‚‹ã€‚ã“ã®è˜åˆ¥ãƒ‡ãƒ¼ã‚¿ãŒCoo
開発者ã®ãŸã‚ã®æ£ã—ã„CSRF対ç–
著者: 金床 <anvil@jumperz.net> http://www.jumperz.net/ â– ã¯ã˜ã‚㫠ウェブアプリケーション開発者ã®ç«‹å ´ã‹ã‚‰è¦‹ãŸCSRF対ç–ã«ã¤ã„ã¦ã€ã•ã¾ã–ã¾ãªæƒ…å ±ãŒå…¥ã‚Šä¹±ã‚Œã¦ã„る。ç†è€…ãŒ2006å¹´3月ã®æ™‚点ã«ãŠã„ã¦å›½å†…ã®ã‚¦ã‚§ãƒ–サ イトやコンピュータ書ç±ãƒ»é›‘誌ãªã©ã§CSRF対ç–ã«ã¤ã„ã¦æ›¸ã‹ã‚Œã¦ã„る記事を調ã¹ãŸçµæžœã€ãŠã©ã‚ãã¹ãã“ã¨ã«ã€ãã®ã»ã¨ã‚“ã©ãŒèª¤ã‚Šã‚’å«ã‚“ã§ã„ãŸã‚Šã€ç¾å®Ÿçš„ ã«ã¯ä½¿ç”¨ã§ããªã„方法を紹介ã—ãŸã‚Šã—ã¦ã„ãŸã€‚ãã“ã§æœ¬ç¨¿ã§ã¯ã‚¦ã‚§ãƒ–アプリケーション開発者ã«ã¨ã£ã¦ã®æœ¬å½“ã«æ£ã—ã„CSRF対ç–ã«ã¤ã„ã¦ã¾ã¨ã‚ã‚‹ã“ã¨ã¨ã™ る。ã¾ãŸã€æŽ¡ç”¨ã™ã¹ãã§ãªã„CSRF対ç–ã¨ãã®ç†ç”±ã‚‚åˆã‚ã›ã¦ç´¹ä»‹ã™ã‚‹ã€‚ â– ã‚らゆる機能ãŒã‚¿ãƒ¼ã‚²ãƒƒãƒˆã¨ãªã‚Šã†ã‚‹ ウェブアプリケーションã®æŒã¤å…¨ã¦ã®æ©Ÿèƒ½ãŒCSRF攻撃ã®å¯¾è±¡ã¨ãªã‚Šã†ã‚‹ã€‚ã¾ãšã“ã®ã“ã¨ã‚’èªè˜ã—ã¦ãŠãå¿…è¦ãŒã‚る。 Amaz
日本ブãƒã‚°å”会ã‹ã‚‰ã®ãƒ¡ãƒ¼ãƒ«é–¢é€£ - ripjyr's blog
ã¤ã£ã“ã¿ã©ã“ã‚満載ã¿ãŸã„ã§ã™ãｗ＞id:sonodamサメ http://d.hatena.ne.jp/yama_r/20060304/1141407252 脆弱性よりもã•â€¦ - 無題ドã‚ュメント 日本ブãƒã‚°å”会ã®è„†å¼±æ€§ã«ã¤ã„㦠- よãããŸã¯ã¦ãƒ€ 日本ブãƒã‚°å”会ã®å¤±æ…‹ - 全脳自由帳 徒然"ã‚„ã‚らã‹"Blog日記:日本ブãƒã‚°å”会ã®ãŠç²—末ãªã‚¹ã‚¿ãƒ¼ãƒˆ - livedoor Blog（ブãƒã‚°ï¼‰ 日本ブãƒã‚°å”会 - ç¸å´ã§ãŠèŒ¶ ã•ã£ããã‚„ã£ã¦ãã‚ŒãŸã€‚ãã‚Œã«ã¯ã¦ãªãƒ–ックマークã«ã‚ˆã‚‹ã¨ã€ä¼šå“¡ã«é…布ã—ã¦ã„ãŸIDã¨ãƒ‘スワードã¯ã©ã†ã‚„ら全員ã«å…±é€šã®ã‚‚ã®ã§ã‚ã£ãŸã‚‰ã—ã„。ãã†ã„ã†äººãŸã¡ãŒã€Œãƒ–ãƒã‚°ã®æ™®åŠä¿ƒé€²ã€ã‚’ã‚„ã‚‹ã®ã‹ã€‚æ—©ã「全部ãƒã‚¿ã§ã—ãŸã€ã¨è¨€ã£ã¦ã»ã—ã„。 ã¦ã‹ã€ã‰ãƒã‰ãƒãƒ»ãƒ»ãƒ»ï¼
1
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
{{#tags}}- {{label}}
{{/tags}}