危険文字と言わないで - ockeghem's blog
昨日、とあるベンダーのセキュリティセミナーに行きました。 そしたら、どうです。僕らのことを「危険文字」と呼んでる人がいるじゃありませんか。 ひどすぎます。僕らは日夜、世界中で、HTMLのページを書いたり、データベースを検索したりで、Webを支えているんです。僕らが無かったら、Yahoo!だって、Amazonだって、Googleだって、tokumaru.orgだって実現できないんですよ。うそだと思ったら、「<」も「>」も「'」も「"」もなしに、Webアプリを書いてごらんなさい。 こんなことを言ったら、UTF-7なら、7bitアスキーなら「危険文字」使わないで書けるとか言う人がいるかもしれない。でも考えてみてください。UTF-7とか7bitアスキーの方こそ、よっぽど「危険」じゃないですか。それに、UTF-7は見た目が変なだけで(UTF-7怒るかな?)、結局は僕らのことを表現しているんです。当た
アンチ「サニタイびんぷ」: 画像版サニタイズ言うな(2) - 徳丸浩の日記(2007-08-21)
_ 画像版サニタイズ言うな(2) 前回のエントリーの後、mod_imagefightのコマンドライン版を作ったりして、検証してみました。まだ検証途中ですが、今回はBMP形式についてのアンチmod_imagefightについて紹介します。 まず、BMP形式のヘッダは以下のようになります(カッコ内はバイト数)。 0000:MARK(2) ='BM' 0002:ファイルサイズ(4) 0006:予約1(2) =0 0008:予約2(2) =0 000A:ビットマップ開始位置(4) 000E:ヘッダサイズ(4) =0x28 0012:イメージ横幅(4) 0016:イメージ高さ(4) 001A:プレーン数(2) =1 001C:ピクセルあたりのビット数(2) 1,4,8,24 001E:圧縮形式(4) =0,1 0022:圧縮後のイメージサイズ 0026:水平解像度(4) 002A:垂直解像度(4)
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
でも本当にすごいのはGoogle AdSense - ockeghem's blog
『入力時に文字参照に変換するのがよろしくない理由 | 水無月ばけらのえび日記』へのコメント
http://www.trusnet.com/tools/guard3/index.html
