水無月ばけらのえび日記

> ああ、なるほど。条件が合うと任意のサーバの Basic 認証のパスワードがとれてしまったりする可能性もありそうで、洒落にならないですね。

だから

> CookieやBasic認証のパスワードなどの資格情報を、騙されたブラウザが自動的に送ってくれるというメリット【謎】がいちおうあります。

って言ったじゃないですかっ【謎】。

>だから

>> CookieやBasic認証のパスワードなどの資格情報を、騙されたブラウザが自動的に送ってくれるというメリット【謎】がいちおうあります。

>って言ったじゃないですかっ【謎】。

なるほど。ブラウザの通信制限機能をsmugglingするわけですか。

捏造したリクエストがサーバで解釈されるときに後続のリクエストを飲み込んでしまうようにすれば――という感じなのですね。

やっと理解できました。