[B! E4X][XSS] ockeghemのブックマーク

ockeghem id:ockeghem

E4XとXSSに関するockeghemのブックマーク (2)

E4X、連想配列とプロパティ、Object.evalメソッド - ockeghem(徳丸浩)の日記
大垣さんのブログから確かにかなり便利なのですが以下のコードでスクリプトが実行されることはほとんど知られていないでしょうね。 <script> 123[''+<_>ev</_>+<_>al</_>](''+<_>aler</_>+<_>t</_>+<_>(1)</_>); </script> このスクリプトの中には、興味深い要素がたくさん含まれていますが、説明もなく放り出されているので理解が難しいでしょうね。 E4Xについてまず目につくのは、JavaScript(ECMAScript)のスクリプト中にXML形式でオブジェクト・リテラルを記述できるE4X(ECMAScript for XML)という機能です(FireFox1.5以降で対応)。これは、例えば以下のように使います。 var order = <order> <name>Webアプリケーションのセキュリティ完全対策</name>
ockeghem 2007/10/17
JavaScript

E4X

eval

XSS

セルクマ

security

セキュリティ
リンク
yohgaki's blog - いろいろ変わったXSSがありますが...
(Last Updated On: 2007年10月12日)私が知らなかっただけかもしれませんが、これにはかなり驚きました。いろんな所で問題が指摘されていますが、ECMAScriptにXML機能を追加したのはどうなんでしょうね…. 確かにかなり便利なのですが以下のコードでスクリプトが実行されることはほとんど知られていないでしょうね。 <script> 123[”+<_>ev</_>+<_>al</_>](”+<_>aler</_>+<_>t</_>+<_>(1)</_>); </script> 好むと好まざる関係なくFirefox 1.5から使えるのでWeb開発者は知っておかなればならないです。日本語訳 http://www.ne.jp/asahi/nanto/moon/specs/ecma-357.html 原文 http://www.ecma-international.org/pu
ockeghem 2007/10/14
『好むと好まざる関係なくFirefox 1.5から使えるのでWeb開発者は知っておかなればならないです』<そうかなぁ。こういうトリビア的な知識を強いるのはどうだろうか。どういうときに問題になりどう対策するかを示さないと

xss

javascript

security
リンク
1