XSS Challenges 登山会に参加してきた

12/4から5にかけて、XSS Challenges 登山会に参加してきた。合宿ですよ！

内容は、http://xss-quiz.int21h.jp/の課題をクリアしていくというもの。よかったら挑戦してみてください。

以下、思い出して列挙します。

結論

  • 基本
    • 小手先で変換するよりも、エスケープして出力しようね
  • IEバッククオート対策
    • 属性値は引用符で囲もうね
  • UTF-7対策
    • headでcharsetを明示しようね

ひろみちゅストーカーにとっては、当然のことだね！
ただ、スタイルシートやスクリプトを記述できるサイト（はてなDとか）だと、大変だろうと想像する。

tips

  • Chromeのソースコード表示機能は、GETリクエストを投げ直してしまうので、POST結果を見たい場合にはつかえない。
    • Firefoxでは、現在見ているものを表示する。
  • command-U(windowsはctrl-U)でソースコードの表示
  • UTF-7は、HTML5対応ブラウザでは「サポートしてはならない」。
  • IEは微妙な独自仕様がある
    • バッククオートを引用符としてあつかう
    • CSSにJavascriptを記述できるとか

お役立ち