数カ月前、support.apple.comドメイン上でXSSを見つけ報告しました。頑張ってalert出したXSSだったので紹介します。ちなみに修正されてから公開しているのでここに書いてある方法を今試しても再現しません。セキュリティ私のXSSの記事が検索上位に来ているわけがない最近、Google、YahooでXSSをワード検索すると検索結果の3番目に弊ブログの記事が来ることを知りました(プライベートブラウジング使用時)。雑記ご注文はユーザの情報ですか?今回は、Flashを使い罠ページにアクセスしてきたユーザの外部サイト上のデータを取得することが出来た話について書きます。本検証は4月末には終了していたのですが諸事情により情報の公開が遅れてしまいました。日本語での情報がありませんでしたが攻撃が成功すると割りと危険であることが分かったのでまとめました。セキュリティjavascriptスキームとイベントハンドラは二度刺す新入生の方とそれを指導される方、新社会人の方とそれを指導される方お疲れ様です。今回はリンク中で無視されるエンティティ文字を収集しました。alive3月更新しませんでした。