徳丸浩の日記 - TwitterのXSS対策は変だ -
675日前 (www.tokumaru.org) Tags: security twitter xss
Twitterのクロスサイト・スクリプティング(XSS)対策は変だ Twitterが流行している。私もヘビーユーザとは言えないものの、結構愛用している(http://twitter.com/ockeghem)。このTwitterのXSS対策が変だなと思う事象があったので報告する。 あらかじめお断りしておくが、TwitterにXSS脆弱性がある(実際にはあったようだが)という報告ではなく、対策の方法がおかしいという報告である。 まずは、... 続きを読む
 8 コメント   このエントリーを含むはてなブックマーク このエントリーのブックマーク数

コメント 評価したユーザ 関連ブログ

コメント

Profile_s written by miya2000 671日前

「そもそも、出力時でなければ「エスケープ」と呼ぶことさえ間違いでは。」

Profile_s written by mattn 672日前

殆ど知ってたけど､まとめて見ると多さに驚く

Profile_s written by NOV1975 672日前

出力直前にエスケープした後、出力文字数分でカットしている可能性は…ないか。

Profile_s written by rna 672日前

「この方法のメリットはあるだろうか?」負荷軽減では? 巨大なチャットみたいなものだから入力一回につき表示は何千何万回に。/はてなダイアリーもHTMLに変換済みのデータを(も)DBに入れてなかったっけ。/2chのdatも。

Profile_s written by poolmmjp 672日前

ほんとだー。やっぱエスケープをセキュリティ的な対策だと思ってちゃダメよね。

Profile_s written by HiromitsuTakagi 672日前

昔はよく見たパターン。入門書でそういうコードも見かける。/ そもそも、出力時でなければ「エスケープ」と呼ぶことさえ間違いでは。出力の場所が決まるまで何がエスケープなのか定まらないのだから。「"」もそのせい

Profile_s written by korn_freak 675日前

うわっ、これはひどい

Profile_s written by ockeghem 675日前

Twitterは「<」と「>」はエスケープしてからDBに格納、&'"についてはエスケープしていない(~O~)

[PR]人気のエログが大集合