「平成24年度春期情報セキュリティスペシャリスト試験のXSS問題」へのコメント
「水無月ばけらのえび日記 : 平成24年度春期情報セキュリティスペシャリスト試験のXSS問題」について、4件のコメントが書かれています。
[7320] Re:「平成24年度春期情報セキュリティスペシャリスト試験のXSS問題」
えむけい (2012年5月1日 0時35分)
> HTML5のa要素にはname属性はありません。
"Obsolete but conforming features"にいちおう含まれているので、「ありません」と言い切るのは微妙な感じがします。
http://dev.w3.org/html5/spec/single-page.html#obsolete-but-conforming-features
[7324] Re:「平成24年度春期情報セキュリティスペシャリスト試験のXSS問題」
ばけら (2012年5月1日 22時56分)
>> HTML5のa要素にはname属性はありません。
>"Obsolete but conforming features"にいちおう含まれているので、「ありません」と言い切るのは微妙な感じがします。
いろいろな意味で微妙なところですね。
「HTML5のa要素にはname属性はない」けれども、「a要素にname属性がついていてもいちおう適合はする」というような話ではありますが、この文脈だと確かに「一応適合する」という点を重視したほうが良いかもしれません。
[7330] Re:「平成24年度春期情報セキュリティスペシャリスト試験のXSS問題」
ると (2012年5月3日 22時57分)
「このコードに限定した話」かつ「攻撃さえ防げれば良く、不具合があっても良い」と想定した場合において、
単引用符(およびバックスラッシュ)をエスケープするだけだと、
「" onmouseover="alert(document.cookie)" onmousedown="」
という文字列でダメにならないでしょうか。
コード
https://gist.github.com/2583211
出力
<a name="#" onclick="alert('" onmouseover="alert(document.cookie)" onmousedown="')">
previous search word
</a>
「水無月ばけらのえび日記 : 平成24年度春期情報セキュリティスペシャリスト試験のXSS問題」についてコメントを書く場合は、以下のフォームに記入してください。