t_komura https://blog.hatena.ne.jp/t_komura/ t_komuraの日記 https://t-komura.hatenadiary.org/ PHP セキュリティ 以下のページに関連して、htmlspecialchars() を使用している場合でも XSS が可能かどうか少し調べてみました。 http://www.tokumaru.org/d/20090930.html その結果、いくつかのブラウザで文字エンコーディングに Shift_JIS を使用していた場合、XSS が可能なことを確認しました。 テストコードは以下の通りです。リンクにマウスポインタを乗せると埋め込んだ Javascript が実行されます。 <?php $_GET['a1'] = "\xf0"; // \xf0 - \xfc で可能 $_GET['a2'] = " href=dumm… 190 <iframe src="https://hatenablog-parts.com/embed?url=https%3A%2F%2Ft-komura.hatenadiary.org%2Fentry%2F20091004%2F1254665511" title=" Shift_JIS では、htmlspecialchars() を使用しても XSS が可能な場合がある - t_komuraの日記" class="embed-card embed-blogcard" scrolling="no" frameborder="0" style="display: block; width: 100%; height: 190px; max-width: 500px; margin: 10px 0px;"></iframe> Hatena Blog https://hatena.blog 2009-10-04 23:11:51 rich https://t-komura.hatenadiary.org/entry/20091004/1254665511 1.0 100%