mixiのみょうなXSS対策 - ikepyonのだめ人間日記
http://www.msng.info/archives/2009/06/caracter_reference_on_mixi_diary.php と言うのを見て、確認してみた。 mixiでは、コメントや日記の本文を確認する画面が出てくるが、実際に書き込みするために、hiddenフィールドでデータのやり取りをやっている。これはサーバの負荷等を考えてのことだろうと思われる。 ということで、コメントや日記の本文に﹁&"><&﹂を入れてみた。 そうすると、確認画面では以下のようなレスポンスが得られる。 <p>&"><&</p> : <input type="hidden" name="comment_body" value="&"><&" />表示部分では、﹁&﹂->﹁&﹂、﹁"﹂->﹁"﹂、﹁<﹂->﹁<﹂、﹁>﹂->﹁>﹂と変換して
mixi Engineers’ Blog » Tokyo Tyrantによる耐高負荷DBの構築
はてなブックマーク - Hamachiya2のブックマーク
