twitterにどうぞ。この広告は、90日以上更新していないブログに表示しています。Auditorをバイパスする方法はいろいろあるので気をつけましょうという話。Learnを参考にした(最新版ではすでにこの手法は塞がれた)。見た方がわかりやすいと思うので、動画にしたので見てほしい。values=javas&#99ript:alert('hi-this-is-fake')>このように出力されてしまう。Auditorによってブロックされてしまい、URLをアクセスしても警告が出てしまうのでコードを実行させることは難しくなっている。Auditorに検知されずにクリックによってサイトのドメイン上でJavaScriptを実行させるXSSを作り出すことができるのである。動画でデモしたように、フェイクのreCAPTCHAの認証画面のようなものを表示させると、かなり自然な形でクリックを誘導することができると思う。nosniffを設定しているサイトが増えているのはいいことだが、ブラウザのセキュリティ機能というのはあくまで二次的なものである。Auditorが高機能化しているせいで、セキュリティにある程度関心を持っていないとXSSを実行させるのはあまり手軽ではなくなっているが、XSSの脅威がなくなった訳ではない。Auditorを突破してくるので、サーバーアプリケーション側にXSS脆弱性が発生しないよう気をつけることが第一である。下記のXSSは修正された。doの見分け方と使い方についてなどArchiveはてなブログをはじめよう!javascripterさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。