hasegawayosuke https://blog.hatena.ne.jp/hasegawayosuke/ 葉っぱ日記 https://hasegawa.hatenablog.com/ SECURITY script の後ろにゴミを付け加えて、"<script" + XX + ">" のような表記にしてもスクリプトが動作する。XX に指定可能な文字は、IE6 では 0x00、0x09、0x0B、0x0C、0x20、0x2F。Firefox 1.5.0.7 では 0x08、0x09、0x20 となっている。というお話。 もう少し説明すると、IEでは 0x00 は完全に無視されますので、0x00 's' 0x00 'c' 0x00 'r' 0x00 'i' 0x00 'p' 0x00 't' のような表記でもスクリプトは動作します。また、0x0B や 0x0C はスペースと同意に扱われるようです。… 190 <iframe src="https://hatenablog-parts.com/embed?url=https%3A%2F%2Fhasegawa.hatenablog.com%2Fentry%2F20061105%2Fp1" title=" ha.ckers.org web application security lab - Archive » Additional Non Alpha Non Digit Character Evasion - 葉っぱ日記" class="embed-card embed-blogcard" scrolling="no" frameborder="0" style="display: block; width: 100%; height: 190px; max-width: 500px; margin: 10px 0px;"></iframe> Hatena Blog https://hatena.blog 2006-11-05 00:00:00 rich https://hasegawa.hatenablog.com/entry/20061105/p1 1.0 100%