新生鳩丸掲示板♯

大丈夫です。

私は日常的に黒背景に黒文字の艱難辛苦 (何) を受けさせられていますから。

>文字列の途中にNUL文字を混入させる攻撃手法ってそんなに知られていないんですかね?

>自分はCでプログラムを学んだので「NULL文字(\0)を含む各種制御文字の処理は注意するものだ」という意識でいたんですが……

　最近は Perl や PHP から入ってくる人も多かったりして、その辺の知識は意外になかったりするような気がします。そもそも、「C には文字列型がない」という話で「へぇ」と言われたりもしますし……。

# と言っても、私も C はほとんど知らないのですが。

>Webページで見たことなくても全く油断できないわけです。XP SP2やIE7のいろいろ新しいセキュリティ機構がイントラネットゾーンのデフォルトではことごとく無効にされているのもそのためでしょうね。

　ですねぇ。IE = Web ブラウザ、というだけではないと。

　IE7 を入れたら何故か Project 2002 が動かなくなったという経験もありますし、このあたりは全く油断ならないですね。

初めてココにコメントします。自分も最初は「NUL文字を途中に混入してあければ～」と考えたんですが、何を血迷ったのか別の答えを書いてしまいました。orz

文字列の途中にNUL文字を混入させる攻撃手法ってそんなに知られていないんですかね?

自分はCでプログラムを学んだので「NULL文字(\0)を含む各種制御文字の処理は注意するものだ」という意識でいたんですが……最近の各種言語では文字列を扱うデータ型(ex:String型)が標準で用意され、文字列操作に関する内部処理がブラックボックス化しているというのも「初耳」となる原因の1つなのかもしれないな～、と思ってています。

実は私も誤操作かなんかでみつけたのですが、なにをしようとしてミスってみつけたのかわからない……。

そして、Win2kでもできるのかなってためしてみたら反応無くてしょぼーん。

だから下手に直せないって言ったのに。

http://d.hatena.ne.jp/hoshikuzu/20060219#c1140464087

> 「cssText プロパティを使っている人なんて見たことない」と断言してしまっていましたが、こんな使われ方もあり得るのですね。

Webページで見たことなくても全く油断できないわけです。XP SP2やIE7のいろいろ新しいセキュリティ機構がイントラネットゾーンのデフォルトではことごとく無効にされているのもそのためでしょうね。

>用語「CSSXSS」のページで、20060412のパッチにてCSSXSS穴がふさがれていると書いてありました…

　ああ……用語追加したことすら忘れていました。

　追記部分消しておきました。

用語「CSSXSS」のページで、20060412のパッチにてCSSXSS穴がふさがれていると書いてありました…

>>プロフィールの中の、掲示板へのURIが間違えていますよ。

>メールで指摘するしかないか、と思ってました(謎)。

　ぐはー。すみません。

　修正しておきました。

>プロフィールの中の、掲示板へのURIが間違えていますよ。

メールで指摘するしかないか、と思ってました(謎)。

プロフィールの中の、掲示板へのURIが間違えていますよ。

#ばけらさんのプロフィールができるのを楽しみにしていました♪

>小説を書いていた (しかも入賞歴がある) というのを，初めて知りました。

>まったくもって驚きです。

ご参考【謎】:

http://www.ne.jp/asahi/minazuki/bakera/now/bakera

bakera.jp上には対応するリソースは存在しないようです。

小説を書いていた (しかも入賞歴がある) というのを，初めて知りました。

まったくもって驚きです。

# 多芸多才のヒトがうらやましい。。。

>Win+LはWin2k未対応のはずです。

　なるほど、http://www.atmarkit.co.jp/fwin2k/win2ktips/017lock/lock.html あたりを見ると、Windows+L でロックできるのは XP からのようですね。Widows2000 では Ctrl+Alt+Del でロックするしかないということで。

Win+LはWin2k未対応のはずです。

>　行き違いっぽいですが、既に追記してあります。

タッチの差だったようですね。そうとはしらず…追記をありがとうございました。

>いやー、いいですねね。その写真も、それはそれで。

　ありがとうございます。

　それもこれも全て皆様のおかけでして、良い仲間に恵まれたことを大変幸せに思います。

>4月度のセキュリティ更新プログラムを適用後も依然として【いわゆる】CSSXSS脆弱性()が残っていることが判明いたしました。

(snip)

>http://d.hatena.ne.jp/hoshikuzu/20060414#P20060414IECSSXSS

　ご指摘ありがとうございます。

　行き違いっぽいですが、既に追記してあります。

いやー、いいですねね。その写真も、それはそれで。

IPAのやつに載ったののほうが、生活感があるというか、リアル感があって素敵だけども、まあ写真としての方向性が違うということで。

4月度のセキュリティ更新プログラムを適用後も依然として【いわゆる】CSSXSS脆弱性()が残っていることが判明いたしました。

CVE-2005-4089( AKA CSSXSS )対策がMS06-013に含まれているとはMicrosoft社は公式発表していません。まだふさがっていないのだという認識のほうが安全かもと私も注意を受けたのですが、確認したところ確かにまだちょっとした工夫でCSSXSSな穴をくぐれます。

自衛しながら辛抱強く待つ必要がありますね。

関連：(たいしたことは書いてありませんが)

http://d.hatena.ne.jp/hoshikuzu/20060414#P20060414IECSSXSS