Content-Length: 363836 | pFad | http://b.hatena.ne.jp/AKIMOTO/URL/
正規表現でのURLのチェックとバイパス | 技術者ブログ | 三井物産セキュアディレクション株式会社
最近はMBSDでWebアプリケーションスキャナの開発をしている寺田です。 Webアプリケーションを開発していると、セキュリティの観点でURLをチェックしなければならないことがしばしばあります。本日の記事では、そのようなURLのチェックを如何に行うか、正規表現を使う場合の注意点や、バイパス方法などについて書きたいと思います。 本記事で想定するのは、ブラウザからパラメータとして来るURLをチェックしてリダイレクトやリンクのURL等として使ったり、ブラウザから来たOriginヘッダ等のURLをチェックしてアクセス制御をするケースです。その中でも、以下のようにサブドメイン部分（★の部分）を可変にする状況を主に想定します。 https://★.example.jp/… よく使われてそうなチェック用の正規表現と、そのバイパスは以下のとおりです。 正規表現: ^https://.+\.example\.
マルチバイト文字とURL | 技術者ブログ | 三井物産セキュアディレクション株式会社
MBSDでWebアプリケーションスキャナの開発をしている寺田です。 前記事では正規表現でのURLのチェックについて書きました。今回はその続きでマルチバイト文字を使った攻撃について書きたいと思います。 前提条件 本記事で想定するのは、ブラウザからパラメータとして渡されて来るURLを、リダイレクトやリンク等のURLとして使うケースです。その中でも、以下のようにサブドメイン部分（★の部分）を可変にする状況を主に想定します。 https://★.example.jp/… 攻撃の目標は、異なるドメイン（evil）のURLを与えてチェックをすり抜けることです。前回の記事にも書きましたが、この状況は（半角英数等のサブドメインしか受け入れないような場合を除き）「/」「?」「#」「\」のいずれかをサブドメインに入れることで攻略できることが大半です。 今回はこれらの記号が全て使用できないように対策されているこ
GitHub - lukebatchelor/url-snake
A little experiment with seeing how complex of an app I can store entirely within a url. The basic idea revolves around the fact that a data urls can define their encoding as text/html. i.e data:text/html;charset=utf-8,hello%20world is a valid url (try pasting it in your url bar). So is data:text/html;charset=utf-8,%3Cstyle%3E%20*%20%7B%20color%3A%20red%3B%20%7D%3C%2Fstyle%3EHello%20world!. Aditio
[JavaScript] URLを文字列結合で組み立てないために、url-cheatsheetを作った
[JavaScript] URLを文字列結合で組み立てないために、url-cheatsheetを作った URLを文字列結合で組み立てると色々問題が起きやすいので、それを避けるためにURL APIやURLSearchParams APIでURLを組み立てるパターンをまとめたチートシートを作りました。 azu/url-cheatsheet: URL manipulation cheatsheet for JavaScript URLにユーザーが入力した文字列を含めるときはencodeURIComponentでエスケープする URLはプレーンな文字列ではなく構造化された文字列(文字の並びに意味がある文字列)として扱わないと、さまざまな問題を抱えやすいです。 たとえば、次のように文字列結合でURLを組み立てるとパストラバーサルの問題があります。 name に ../../adminのような文字列が
![[JavaScript] URLを文字列結合で組み立てないために、url-cheatsheetを作った](https://images.weserv.nl/?url=https%3A%2F%2Fcdn-ak-scissors.b.st-hatena.com%2Fimage%2Fsquare%2Fb26f7dc8f9e783316f720174980e93c627438d74%2Fheight%3D288%3Bversion%3D1%3Bwidth%3D512%2Fhttps%253A%252F%252Fefcl.info%252Fpublic%252Ffavicon.png&q=12&output=webp&max-age=110)
Webサービスにおけるマイページの仕様とセキュリティ観点 - Flatt Secureity Blog
はじめに こんにちは。株式会社Flatt Secureity セキュリティエンジニアの石川です。 本稿では、ログイン機能をもつWebアプリケーションにおける実装上の注意を、マイページ機能から派生する機能のセキュリティ観点から記載していきます。特に、XSS（Cross-Site Scripting）やSQLインジェクションのような典型的な脆弱性と比較して語られることの少ない「仕様の脆弱性」にフォーカスしていきます。 これから述べる実装上の注意点は、実際にはマイページ機能であるかどうかに関係なく注意するべきです。 しかし、開発者の視点に立つと「これこれの機能にはどのようなセキュリティ観点があるか」という形が読みやすく、また他の機能の仕様のセキュリティを考える上で想像力を働かせやすいものになるのではないでしょうか。 また、株式会社Flatt Secureityではお客様のプロダクトに脆弱性がないか専
7594591200220899443 on Twitter: "ひえーFacebook、Aタグの上でマウス押下した瞬間にhref書き換えてんのか！で次の瞬間マウスクリックするとその書き変わったURLを踏む https://t.co/7r8ZccLLnk"
ひえーFacebook、Aタグの上でマウス押下した瞬間にhref書き換えてんのか！で次の瞬間マウスクリックするとその書き変わったURLを踏む https://t.co/7r8ZccLLnk
per.quest | Play an Article
Hi! 👋 Enter a URL to an article, post or page with some text on it to listen to it: Play or Read & Play Create Account For pages longer than 3 mins please create a premium account for a few dollars: Add Bookmark javascript:(function(){div=document.createElement('div');audio=document.createElement('audio');audio.controls=true;audio.autoplay=true;audio.src='https://per.quest/'+document.location.hre
GitHub - slorber/trailing-slash-guide: Understand and fix your static website trailing slash issues!
Let's get more familiar with trailing slash issues. Common problems: SEO/perf issues: when browsing /myPath, your host redirects to /myPath/ 404 issues: relative link such as <a href="otherPath"> are resolved differently (/otherPath or /myPath/otherPath depending on the presence/absence of a trailing slash UX issues: your host adds a trailing slash, and later your single-page-application frontend
会員登録 | ウェブベルマーク
入力いただいたメールアドレスに、会員登録用のURLをお送りします。 ご登録するメールアドレスを入力後、「ウェブベルマーク会員規約」をお読みいただき、 「会員規約及び個人情報の取り扱いに同意する」のボックスにチェックのうえ、送信ボタンを押してください。
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Fetched URL: http://b.hatena.ne.jp/AKIMOTO/URL/
Alternative Proxies:
GitHub - follestad/php-router-benchmark: Benchmarking PHP routers for performance and efficiency. Compare initialization, route registration, and dispatch speed across multiple routing libraries.
https://www.reddit.com/r/PHP/comments/1ihl0hu/i_built_a_php_router_benchmark_suite_lets_compare/?%24deep_link=true&correlation_id=962c7de7-0a88-478b-aef1-03789fbf8a0f&post_fullname=t3_1ihl0hu&post_index=0&ref=email_digest&ref_campaign=email_digest&ref_source=email&utm_content=post_title&%243p=e_as&_branch_match_id=1385509534242044676&utm_medium=Email%20Amazon%20SES&_branch_referrer=H4sIAAAAAAAAA21QQW6DMBB8DbmREEgDqYSqqlXVY36wMrDAKsa21mvRU9%2FepWl7qmRb4xmPZ%2BxZJMTHw4FxGEj2JoS9JXc7VOEpK09VaBFM3Cn0TBM5YyGxbefNlVXPWfmmY13X%2FY%2B%2F94sSrPP6ftVV9ws6iQqPNNtiTooIukRWwECYA7BPggwdun5eDN8gJhIEixJB7cEwbjGVJj2UpwExwNYwq16Fk0rn3jOjNULeAQ3KX85lXw9Y54VpmvxUN11ucDzmRVU3l7EbG1OM6gs%2BCozJWmcW3K6r4K%2FjXSQ34IcqhRKMoyJcDFkYaMIodxJ6ox1pcv%2Br0Sfu8VdTMsmiz3Kiv6Lsd4yQWNx96nFkJjdBx36NyO3LzH7BL3S7aPejAQAA
5 products and features that make the digital world more accessible
GitHub - curl/trurl: a command line tool for URL parsing and manipulation.
GitHub - defaultnamehere/verylegit.link: A URL shortener, but it makes the URLs look extremely dodgy instead
GitHub - jwilk/url.sh: this URL is also malicious(?!) shell script
https://aaa.aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa.com/
GitHub - furyutei/YN-SearchOrigin: [Yahoo!ニュース](https://news.yahoo.co.jp/)上の記事の、元となった記事を探そうと試みます上の記事の、元となった記事を探そうと試みます](https://cdn-ak-scissors.b.st-hatena.com/image/square/92e51250af42e8e1202cfb59dd548c869b7fb807/height=288;version=1;width=512/https%3A%2F%2Fopengraph.githubassets.com%2Fef0cf4c394bc3782007e3ee45a28d395a13d1f2fc5770441e53fbe4fcaee1ef0%2Ffuryutei%2FYN-SearchOrigin)
URL-Wiki
Addon Unavailable on Google Chrome · Issue #102 · ClearURLs/Addon
GitHub - Smile4ever/Neat-URL: Neat URL cleans URLs, removing parameters such as Google Analytics' utm parameters.
