ウイルスバスター2009

セキュリティ

http://d.hatena.ne.jp/ripjyr/20090717/1247832147 もしかして <iframe src="file:///C:/Windows/System32"> とか <iframe src="file:///C:/Program%20Files/Trend%20Micro/Virus%20Buster"> って書いたページを開くだけでブラウザが強制終了させられてしまうなんてことはないんでしょうか?</iframe>

2009-07-21

冗長なUTF-8で記述された記号とシフトJISの文字列は区別がつかない

文字コード

E0 80 A2 → UTF-8では冗長な３バイト表現の '"' → Shift_JIS では '烙｢'

2009-07-18

EV SSLの組織名が省略表示される

Firefox セキュリティ

先日のエントリでドメイン名偽装と見間違えたと書いたJPCERTのページですが、Firefox3.5でアクセスすると、組織名が省略表示になってしまいます。一定の文字数で強制的に省略しているように見えます。Firefox3の表示とどちらがよかったんでしょう？自分で…

2009-07-07

UTF-16の動的コンテンツにおけるXSS

XSS セキュリティ

charset指定を明示しない動的なUTF-16のHTMLでは、動的に生成した部分に1バイトで文字を表現できるエンコーディングで HTMLのタグと認識できるようなバイト列を注入することでXSSが成立する。例：UTF-16（BE,BOMなし)で生成されるレスポンスが <html><head> <title>ユーザー入</title></head></html>…