読者です 読者をやめる 読者になる 読者になる

素人がプログラミングを勉強していたブログ

プログラミング、セキュリティ、英語、Webなどのブログ since 2008

連絡先: すかいぷ:javascripter_  か javascripter あっと tsukkun.net skypeのほうがいいです

location.protocol

location.protocolに変な文字列を入れた場合の挙動。

location.protocol = "javascript://\nalert(1)//" Safariでalertが表示される。XSSAuditorがコメント部分をチェックしないので最近のWebKitでもrefuseされない。

http://twitter.com/javascripter/status/3978868391

なんと、Safariではjavascript:スキームが動作してしまう(JavaScriptが動作してしまう)。Firefoxでは例外が発生し、Operaでは代入が無視される。気をつけよう。