[B! xss] HolyGrailのブックマーク

HolyGrail id:HolyGrail

xssに関するHolyGrailのブックマーク (7)

[PDF] Our Favorite XSS Filters and how to Attack Them
HolyGrail 2009/07/31
javascript

xss
リンク
うごメモはてなのXSS - 素人がプログラミングを勉強していたブログ
うごメモはてなはてなのXSS脆弱性を発見したのでメモ。 http://ugomemo.hatena.ne.jp/movies?sort="><script>alert("XSS")</script>XSSは、クエリの値に xxx>\"'%0Aと入れて、Firefoxのソース表示でxxxで検索して壊れてる部分を探すとすぐ見つかる。参考文献: http://d.hatena.ne.jp/xor0x35/20090327/p1
HolyGrail 2009/03/31
xss
リンク
はてなグループの終了日を2020年1月31日(金)に決定しました - はてなの告知
はてなグループの終了日を2020年1月31日(金)に決定しました以下のエントリの通り、今年末を目処にはてなグループを終了予定である旨をお知らせしておりました。 2019年末を目処に、はてなグループの提供を終了する予定です - はてなグループ日記このたび、正式に終了日を決定いたしましたので、以下の通りご確認ください。終了日: 2020年1月31日(金) エクスポート希望申請期限:2020年1月31日(金) 終了日以降は、はてなグループの閲覧および投稿は行えません。日記のエクスポートが必要な方は以下の記事にしたがって手続きをしてください。はてなグループに投稿された日記データのエクスポートについて - はてなグループ日記ご利用のみなさまにはご迷惑をおかけいたしますが、どうぞよろしくお願いいたします。 2020-06-25 追記はてなグループ日記のエクスポートデータは2020年2月28
HolyGrail 2008/12/05
xss

はまちちゃん
リンク
XSSを修正しないという事 (Kanasansoft Web Lab.)
今読み返すと、あちこちに変な日本語が混じっていますね。訂正するのも嫌らしいのでそのままにしておきます。はてなブックマークというサービスで、当エントリーに対してついたコメントに返信していきます。このエントリーには、「XSSの危険性をわかっていない人に理解してもらう」というのが前提としてありました。そして、「技術の疎い人にも理解して動いてもらう」という願いもありました。このために、「多少の誤解を与えたとしてもなんとなく理解してもらう」事を重要視しています。これを踏まえて以下記述します。「#」ではじまるのがはてなブックマークのコメントです。 #2008年10月24日 g616blackheart ガードが堅いと言われた……どうしてだろう？ #2008年10月24日 anigoka なんかガードが堅いて言われちゃったんだけど、なに,オレが非コミュだって言いたいの！？申し訳ないです。
HolyGrail 2008/10/24
xss

kanasan
リンク
クロスサイトスクリプティング(XSS)とCSRFの違い早分かり - ockeghem(徳丸浩)の日記
昨日の日記で、DK祭りで使われている脆弱性がXSSかCSRFかという問題になった。どうも、XSSとCSRFがごっちゃになっている人もいるように見受けるので、簡単な整理を試みたい。 XSSとCSRFには似た点がある。どちらも「クロスサイト」という言葉が先頭につくなりすましのようなことが結果としてできるどちらも受動型攻撃であるそれに対して、もちろん違う点もある。専門家から見れば「似てるも何も、そもそも全然違うものですよ」となるのだろうが、現に混同している人がいるのだから紛らわしい点もあるのだろう。私思うに、XSSとCSRFの決定的な違いは、以下の点ではないだろうか。 XSSは攻撃スクリプトがブラウザ上で動くが、CSRFはサーバー上で動くこのため、XSSでできる悪いことは、すなわちJavaScriptでできることであって、攻撃対象のCookieを盗み出すことが典型例となる。一方、CS
HolyGrail 2007/12/03
danとhamachanてｗｗｗ

csrf

xss

security
リンク
twitterにクロスサイトスクリプティング(XSS)脆弱性があればパスワードを変更できる - ockeghem's blog
秋のDK収穫祭などで騒がれている、いわゆるDK祭り。さすがの私も、今夜半の祭りにはmaitter。私のtwitterが荒らされていたのだ。 http://blog.livedoor.jp/dankogai/archives/50959103.html 現象から見てセッションハイジャックされたと思われるが、原因となる脆弱性が小飼弾氏の主張どおりCSRF(Cross Site Request Forgeries)だったのか、パスワードは窃取されたのか、元々のパスワードが類推しやすいものだったのかなど、議論を呼んでいる。私は、現象からみて、原因となる脆弱性はCSRFではなく、XSSだったと思う*1。twitterにXSS脆弱性があれば、セッションハイジャックにより、第三者が小飼弾氏になりすまして発言するところまでは可能だ。しかし、一般的にはXSSではパスワードまでは窃取できない。id:ha
HolyGrail 2007/12/02
twitter

security

xss
リンク
TAKESAKO @ Yet another Cybozu Labs: 第1回XSS祭り(サニタイズ勉強会）
ついカッとなって企画された第1回XSS祭り、ネタかと思っていましたが、先日の日曜日に開催され、無事終了しました。 XSS本の洋書 XSS Attacks: Cross Site Scripting Exploits and Defense が日本に届いたので、このタイミングに最近のXSSの傾向を整理して、それらの攻撃を防御する手法についてみんなで勉強しました。実際、本の内容にはあんまり触れなかったですけど。ネタでAnti-Anti-Antiとか。終始まったりとした雰囲気の中、参加者の飛び入りプレゼンやSkype中継もあったりと、大変楽しい勉強会でした。参加者が参加者だけに、国内（世界的にも）最先端の話を共有することができて、有意義な時間を過ごすことができました。（詳細はあとで書く。）わざわざ、この勉強会のためだけに新幹線で上京された方もいらっしゃったとのことで、その熱意には感
HolyGrail 2007/06/04
詳細が気になる＞＜

xss
リンク
1