UTF-7 XSS Cheat Sheet
Countermeasures against XSS with UTF-7 are: Specify charset clearly (HTTP header is recommended) Don't place the text attacker can control before <meta> Specify recognizable charset name by browser. For more information about UTF-7 trick, see "Cross-site scripthing with UTF-7". These XSS patterns are tested on IE6 and IE7. Yosuke HASEGAWA <[email protected]> Last modified: 2008-01
Internet Explorer ã¸ã® Web 標準対応ã«é–¢ã™ã‚‹ãƒ•ã‚£ãƒ¼ãƒ‰ãƒãƒƒã‚¯ - 葉ã£ã±æ—¥è¨˜
å²ä¸Šç©ºå‰ã®ç°¡å˜ãªãŠä»•äº‹ãƒ–ームã®ãªã‹ã€ç¾åœ¨ã® Internet Explorer 6/7 ã«ãŠã‘ã‚‹ Web 標準技術ã¸ã®å¯¾å¿œã«ãŠã‘ã‚‹å•é¡Œç‚¹ã‚„è¦æœ›ã‚’フィードãƒãƒƒã‚¯ã™ã‚‹ã ã‘ã®ç°¡å˜ãªãŠä»•äº‹ãŒã‚ã‚‹ãã†ã§ã™ã€‚ユーザ登録ã™ã‚‹ã ã‘ã§èª°ã§ã‚‚ã§ãã‚‹ç°¡å˜ãªãŠä»•äº‹ã§ã™ã€‚ 五寳ã•ã‚“ã®ãƒ–ãƒã‚°ã€Œå¾’然 SBS - TUREZURE SBS: Mozilla24 イベントを終ãˆã¦ã€ã‚ˆã‚Šã€‚ユーザ登録ã®æ–¹æ³•ã¯ã“ã¡ã‚‰ã€‚ ã¨ã‚Šã‚ãˆãšä»¥ä¸‹ã®ã‚ˆã†ãªå†…容ã®ã‚‚ã®ã‚’1件æ出ã—ã¦ã¿ã¾ã—ãŸã€‚ã“れ以外ã«ã‚‚ã„ã‚ã„ã‚æ€ã†ã¨ã“ã‚ã¯ã‚ã‚Šã¾ã™ã®ã§ãƒ’マをã¿ã¦å‡ºã—ã¦ã¿ã¾ã™ã€‚ è¦æœ› サーãƒã‹ã‚‰è¿”ã•ã‚Œã‚‹ Content-Type: ã«å¾“ã£ã¦ãƒ•ã‚¡ã‚¤ãƒ«ã‚¿ã‚¤ãƒ—を決定ã—ã¦æ¬²ã—ã„。 Content-Type:ãŒæœªçŸ¥ã®å ´åˆã¯ãƒ€ã‚¦ãƒ³ãƒãƒ¼ãƒ‰ãƒ€ã‚¤ã‚¢ãƒã‚°ã‚’表示ã™ã‚‹ã‚ˆã†ã«ã—㦠欲ã—ã„。 ç¾çŠ¶ã®å•é¡Œç‚¹ Content-Type:ãŒãƒ¬ã‚¸ã‚¹ãƒˆãƒªã«æœªç™»éŒ²ã®å ´åˆã€(諸々ã®æ¡ä»¶ã¯ã‚ã‚‹ãŒã€æ¦‚ã) U
葉ã£ã±æ—¥è¨˜ - レジストリ㮠HKCRï¿¥MIMEï¿¥Databaseï¿¥charset 以下ã«å®šç¾©ã•ã‚Œã¦ã„ã¾ã™ã€‚
UTF-7を利用ã—ãŸXSSã¯ã€charset ãŒæŒ‡å®šã•ã‚Œã¦ã„ãªã„å ´åˆã«ç™ºç”Ÿã™ã‚‹ã¨è€ƒãˆã‚‰ã‚Œã¦ã„ã¾ã™ãŒã€å°‘ãªãã¨ã‚‚ Internet Explorer ã«ãŠã„ã¦ã¯ã€ã“ã‚Œã¯å¤§ããªé–“é•ã„ã§ã™ã€‚æ£ã—ãã¯ã€Internet Explorer ãŒèªè˜ã§ãã‚‹ charset ãŒæŒ‡å®šã•ã‚Œã¦ã„ãªã„å ´åˆã§ã‚ã‚Šã€charsetãŒä»˜åŠ ã•ã‚Œã¦ã„ã¦ã‚‚ã€IEãŒèªè˜ã§ããªã„æ–‡å—エンコーディングåã§ã‚ã‚‹å ´åˆã«ã¯XSSãŒç™ºç”Ÿã—ã¾ã™ã€‚ 例ãˆã°ã€æ¬¡ã®ã‚ˆã†ãª HTML ã¯(HTTPレスãƒãƒ³ã‚¹ãƒ˜ãƒƒãƒ€ã§ charset ãŒæ˜Žç¤ºã•ã‚Œã¦ã„ãªã„å ´åˆ)IEãŒæ–‡å—エンコーディングåã‚’æ£ã—ãèªè˜ã§ããªã„ãŸã‚ã€ãã®å†…容ã‹ã‚‰UTF-7ã¨è§£é‡ˆã•ã‚Œã‚‹ãŸã‚ã«ã‚¹ã‚¯ãƒªãƒ—トãŒå‹•ä½œã—ã¾ã™ã€‚"utf8"ã¨ã„ã†è¡¨è¨˜ã¯UTF-8ã®æ…£ç”¨çš„ãªè¡¨ç¾ã§ã¯ã‚ã‚Šã¾ã™ãŒã€ãƒã‚¤ãƒ•ãƒ³ãŒæŠœã‘ã¦ãŠã‚Šæ£ã—ã„表記ã§ã¯ã‚ã‚Šã¾ã›ã‚“。 <html> <head> <meta http-equiv="Co
1
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
https://labs.cybozu.co.jp/blog/kazuho/archives/2007/01/e4x-xss.php
{{#tags}}- {{label}}
{{/tags}}