Locationヘッダはきちんと出力されている。見せかけるしかないでしょう。*2ほんとIEといい、IISといい、まったくデタラメなソフトばかりです。HTTPDの方が幸せなになるんじゃないかなぁ。やだなぁ......。使う方が遅くなるんですよね。コメント(0件)2006/08/23(水)CSSXSSプログラム::cgiCSSの中でjavascript実行しちゃったりする問題CSSXSSというのがあるんですが、もちろんIE専用。要するに「罠サイトからスタイルシートに見せかけることで好きなサイトのデータを(クライアントに)取得させ、それをJavaScriptで処理することで罠サイト側に情報漏洩出来る」セキュリティホールです。IEやることが違う!というわけなんですが、CSSXSSさせない(加害者にならない)対策は取れても、CSSXSSされない(被害者にならない)対策は取りようがない。漏洩したことろでセッションは盗めないのですが(でも機密とかダダ漏れ)、CSSXSS+CSRFされるともはや手の打ちようがない。application/xxx-dataという風にしておけば、大抵は未登録のコンテントタイプなので保存指示ウィンドウが出るようになります。POST時にこの方法を用いてファイルを保存させようとすると、ファイル名選択ダイアログが出てきません(Firefoxにて確認)。各種blogツールにおいて、エクスポート時のメソッドがなぜGETなのか今まで疑問だったのですが、ようやく謎が解けました。.cgiというふうにします(Apache2用)。http://adiary.abk.nu/tools/tdiary2adiary.cgiで使ってる技です。うまく働かなくなってましたので、次のようにしました。.cgiContent-Typeを変更せずにファイルとして保存させるcgiの場合、もっとスマートにファイルとして保存させる方法を発見しました。charset=(文字コード);とすれば良いようです。コメント(2件)2006/05/25(木)タグの認識を正規表現でプログラム::cgi一昔前の掲示板などで利用出来るタグを制限できるものがありますが、それと同等のモジュール(自作)をadiaryでは使用しています。属性値を認めると途端にタグの解析が難しくなります。"$1\n";}だいたいこれでタグを認識できますが、IE/Firefox/Operaなどで色々確認した結果、壊れた(不正な形式の)htmlタグの解釈は統一されておらず、結局、その辺の仕様まで完全にサポートすることは非常に難しく、そこをつつけば、この手のタグ制限ルーチンの解析を避けて、ブラウザに対し不正なタグを認識させる(XSSする)ことが可能なようです。