シングルクォートもきちんとエスケープする - 素人がプログラミングを勉強するブログ

JAVASCRIPT セキュリティ XSS

シングルクォート(')をエスケープせずXSSの原因になっているサイトをけっこう見かけたので、どういう時問題になるのか書いておく。 JavaScriptの文字列を動的に埋め込む場合。 <script> var q = 'hoge"fuga'; document.getElementById('word').appendChild(docum</script>…

2008-01-30

我々は公共性の進化に見あった速度で進化しているか - アンカテ(Uncategorizable Blog)

SECURITY セキュリティ PHP

Attacking PHP - Matzにっき(2008-01-26) まつもとさんのこのエントリから凄い騒ぎになっているようだけど、ここで一番重要なことは、PHPやRubyがどうのこうのでなくて Webアプリケーションをなめるな Matzにっき(2008-01-26) こっちの方だと思う。「初心者…

2008-01-28

第3回：Railsでセッションハイジャックを実体験 (1/3)

セキュリティ RUBY SECURITY Think IT

第3回となる本記事では、Web開発プラットフレームワークとして人気が急上昇中の「Ruby on Rails」（以下、RoR）を目標に、サンプルコードを用いたセッションハイジャック攻撃を行う。 RoRはRuby言語で記述されたWebアプリケーションフレームワークで「DRY（D…