javascript文字リテラルのエスケープ方法

セキュリティ

シングルクォートもきちんとエスケープする - 素人がプログラミングを勉強していたブログに触発されて。こんなソースを <html xmlns="http://www.w3.org/1999/xhtml" xml:lang="ja" lang="ja"> <head> </head></html>

2008-10-23

PDO,mysqli,PEAR::DBのどれも使えない人のための簡易クエリー実行クラス

PHP mysql セキュリティ

多分そういう人はレンタルサーバーでサーバー管理者がいつまでもサボっていてサーバー管理者が「PEAR?何それおいしいの？」って人でアップグレードのお願いをしても無視されてってサーバーしか使えないのだと思う。 class QueryObject{ var $database; …

2008-10-23

zencartの困った問題

PHP SQL セキュリティ

結構便利そうに見えたのだが困った問題が。たとえばadmin/products_price_manager.phpの以下の部分 $db->Execute("update " . TABLE_PRODUCTS . " set products_price='" . zen_db_prepare_input($_POST['products_price']) . "', products_tax_class_id='"…

2008-08-21

OpenIdってこんな感じ？

セキュリティネット

Consumer(以下C)のページをリクエスト Cの認証が必要な場合、Cがログインページを表示 CにOpenIdを送信 CはOpenIdの発行元を探し、見つかった発行元(OP)に必要情報をリダイレクト OPはCから受け取った情報を元に認証処理(帰る場所=Cの場所は覚えておく) OPで…

2008-08-08

a要素のhrefに"javascript:"を書くのは危険か？

セキュリティ XSS

たとえばaspx.net(C#)で入力値をアラートするだけのコード string s = "\"%22); alert(%22111%22);(%22"; HyperLink1.NavigateUrl = "javascript:alert(\"" + s + "\")"; NavigateUrlプロパティは入力文字列を勝手にエスケープする。したがってa要素はこうな…

2007-02-20

マカフィーセキュリティセンターをアップデートした

雑談セキュリティ

くそ重いので好きではないのですが一度ウェブ閲覧中にウィルスもらってしまったのでインストール。そういえばアカウント更新＆入金しなければいけないはずだが、アカウント更新ページに行くと空のページしか表示できないのでそのまま。新しくなったセキュリ…