クロスサイトスクリプティング

>>86
http://www.crowechizek.com/CC/Global+Navigation/Services/r05_ovr.htm?Serv="><s>

93 ：名無しさん＠お腹いっぱい。：03/10/19 18:40

今日の情報セキュリティ試験でXSSが出て来た…

94 ：名無しさん＠お腹いっぱい。：03/10/19 22:37

>>93
Webブラウザからのリクエストに対してWebサーバが返すWebコンテンツ中に
[ b ]が存在した場合には，それらに対するエスケープ処理をWebサーバが
実施しなければならないといったことがあります。

bに相当するのは普通「スクリプト」だと思うんだが、解答群に無かったよな。

95 ：名無しさん＠お腹いっぱい。：03/10/19 23:44

>>94
メタキャラクタでいいんじゃない？
要は不等号をタグとして扱わなければいい訳だし。

96 ：95：03/10/20 07:16

>>95
うん。漏れもメタキャラクタにしたんだけどXSS対策に限定すると
何か回答としてはイマイチだなぁと。

97 ：名無しさん＠お腹いっぱい。：03/10/27 21:29

総務省お抱えのcrowechizekはFlash,HTML両バージョンともダメダメ。
Flashでは応答返ってこないし、HTMLでは文字大きくなるし。
"<H1>No medicine can cure a fool</H1>

98 ：名無しさん＠お腹いっぱい。：03/10/28 22:43

↑IIS?

99 ：名無しさん＠お腹いっぱい。：03/10/30 10:56

> Webブラウザからのリクエストに対してWebサーバが返すWebコンテンツ中に

リクエストに対して返すコンテンツ中のメタキャラクタを全部エスケープしち
まったら、HTMLが全部ソースで見えちまうだろ。大丈夫か、その試験。

100 ：名無しさん＠お腹いっぱい。：03/10/30 11:00

>>94
スクリプトをエスケープするとは言わない。
エスケープする対象として日本語的に適切な選択肢を選べば回答できる。

他にはどんな選択肢があったの？

101 ：名無しさん＠お腹いっぱい。：04/01/07 12:29

最近話題にもならなくなったな

102 ：名無しさん＠お腹いっぱい。：04/02/04 00:16

クッキーで個人情報を保存するのはどう？
↓使ってみようかと思ってますが大丈夫でしょうか
ttp://resume.meieki.com/

103 ：名無しさん＠お腹いっぱい。：04/02/04 00:32

URLにスクリプト仕込むのはTHEBBSの人たちが既にやってる
http://hack.dot.thebbs.jp/1068805016.html
JavascriptをいったんString.fromCharCode化してしまえば
全タグ有効っつーかなんでもできるらしい

104 ：名無しさん＠お腹いっぱい。：04/04/11 21:36

ぱおぱおクッキー

105 ：名無しさん＠お腹いっぱい。：04/04/11 23:30

2chにもクロスサイトスクリプティング脆弱性は結構あるよ。

106 ：名無しさん＠お腹いっぱい。：04/04/12 08:53

言うだけなら誰でも出来る罠

107 ：名無しさん＠お腹いっぱい。：04/04/12 11:29

>>106
実際にやるとどこかのおバカさんみたいに
ムショに連行される罠ｗ

108 ：名無しさん＠お腹いっぱい。：04/04/12 13:29

と言い訳をして具体例も挙げられない馬鹿もいるようで。

109 ：名無しさん＠お腹いっぱい。：04/05/09 23:56

>>107
俺はﾊｯｶｰだから鯖落としたりできるぜ！　でも捕まるからやらない

ってな。捕まらないようにできない奴は単なる厨房
足跡ベタベタ残してならF5押してる馬鹿と同じ

110 ：名無しさん＠お腹いっぱい。：04/08/08 21:34

最近落ち着いた？

111 ：名無しさん＠お腹いっぱい。：04/09/16 16:51:06

みたいだね

112 ：名無しさん＠お腹いっぱい。：04/10/18 10:27:10

懐かしいね

113 ：名無しさん＠お腹いっぱい。：04/11/19 17:45:06

想定される被害で考えたらXSSは「だからなに？」って程度のもんだよ。
Phishingに使われちゃうとかだろうな、今だと。
あとあれか、「XSSほっといてるってコトは他にも穴がバンバンあるだろうーな」
「この会社はセキュリティ対策してねーな」って思われちゃう位だろうか。

114 ：名無しさん＠お腹いっぱい。：05/01/02 11:52:43

115 ：名無しさん＠お腹いっぱい。：2005/05/19(木) 16:29:50

質問させてください。
クロスサイトスクリプティングに関して、概要や対策を紹介したページは多々あるんですが、
実際自分のWEBサイトが攻撃の踏み台にされたかどうかの確認する方法ってあるんでしょうか？
つまりWEBサイト上に形跡が残るものかどうかということを知りたいです。

116 ：名無しさん＠お腹いっぱい。：2005/07/08(金) 16:40:25

あっそ

117 ：名無しさん＠お腹いっぱい。：2005/07/24(日) 15:08:01

ネクラヒッキーのみんなー
夏は出会いの季節！夏を盛り上げる為にも、ココで女の子と出会って仲良くなろう♪
http://www.pretty-love.com/de.php

118 ：名無しさん＠お腹いっぱい。：2005/08/03(水) 00:00:59

●..●...●●...●●●●...●●.....●.●●.●..●.●●●....●●●...●.●.●●

ウイルス対策ソフトの検出力結果
http://www.geocities.jp/stealrush/security.html

●●..●..●●.●●....●.●●.●.●●●●●..●.●●●...●..●●.●....●●

119 ：名無しさん＠お腹いっぱい。：2006/06/03(土) 15:48:50

先日、中国人らしいハッカーにＶＮＣの脆弱性をりようされ
ＰＣに進入を許してしまいました。
これは、ハッカーがＩＥの履歴に残していったＥＸＥなんですが
http://mysky.6600.org/yx/gz.exe
偉い方、なにをするものか教えてください

120 ：名無しさん＠お腹いっぱい。：2007/04/05(木) 16:35:01

ttp://hyocom.jp/b_search.php
ここのキーワード検索は、XSSなんでしょうか？

121 ：名無しさん＠お腹いっぱい。：2007/11/04(日) 11:30:26

ttp://www.brooks.co.jp/index.php

ヤバイなこのサイト・・・

122 ：名無しさん＠お腹いっぱい。：2008/06/03(火) 21:25:27

>>119
メール送信ワームが作成する圧縮ユーティリティ
ワームが自分自身を圧縮してKellyOsbourne.com.gzという
ファイルを作るためのもの。
早い話がワームがすでに実行されたことを意味するよ。

123 ：名無しさん＠お腹いっぱい。：2008/06/05(木) 00:12:08

２年物の自演てすごいよな

124 ：名無しさん＠お腹いっぱい。：2009/04/05(日) 21:36:40

125 ：名無しさん＠お腹いっぱい。：2009/06/12(金) 03:34:55

http://pc11.2ch.net/test/read.cgi/sec/1004160822/l50

126 ：名無しさん＠お腹いっぱい。：2009/06/12(金) 03:35:14

http://pc11.2ch.net/test/read.cgi/sec/1004160822/l50

127 ：名無しさん＠お腹いっぱい。：2010/09/05(日) 10:10:20

うーん

128 ：ひみつの検疫さん：2024/05/03(金) 08:45:39 ID:MarkedRes

汚染を除去しました。

129 ：忍法帖【Lv=40,xxxPT】(5+0：8) 【29.4m】電脳プリオン ◆3YKmpu7JR7Ic ：2013/01/09(水) 22:34:04.13 BE:304056656-PLT(12079)

　　∧＿∧
　（　・∀・）　　　|　|　ｶﾞｯ
　と　　　　）　　 |　|
　　Ｙ　/ノ　　　人
　　　 /　）　　 < 　>__Λ∩
　＿/し'　／／. Ｖ｀Д´）/ ←>>81
　（＿フ彡　　　　　　　/

130 ：忍法帖【Lv=3,xxxP】(1+0：8) ：2013/01/11(金) 02:49:36.70

test

131 ：名無しさん＠お腹いっぱい。：2013/01/24(木) 21:26:51.65

過疎スレがこんなところにも。

132 ：名無しさん＠お腹いっぱい。：2013/02/09(土) 00:06:11.18

タグを使えないネトゲのマイページのプロフィール欄に
外部のブログパーツのスクリプトを引っ張ってきたいのですが、
どのようにやればいいのでしょうか。
ご教示いただけますか？

ほかの人のやっているののソースを見ると、
アンカーが二重<<>>になっているだけのようなのですが
それで書き込んでもはじかれてしまいます。

しらべてみて、文字コードによるハック？ということまでたどりついたのですが
実際のやり方がわかりません。

詳しい方おしえてください。よろしくお願いします。

133 ：名無しさん＠お腹いっぱい。：2013/10/19(土) 22:46:39.70

134 ：名無しさん＠お腹いっぱい。：2013/10/19(土) 22:47:43.23

>>1javascript:alert(1)

135 ：名無しさん＠お腹いっぱい。：2013/10/19(土) 22:49:48.21

>>000

136 ：名無しさん＠お腹いっぱい。：2013/10/19(土) 22:55:12.82

onmouseover='alert(1)'

137 ：名無しさん＠お腹いっぱい。：2013/10/19(土) 22:56:16.74

onmouseover=alert(1)//

138 ：名無しさん＠お腹いっぱい。：2013/10/20(日) 06:48:52.86

" onmouseover="alert(1)

139 ：名無しさん＠お腹いっぱい。：2013/12/22(日) 01:29:23.82