葉っぱ日記

■[SECURITY] IE6/7の<meta refresh>では「;」で区切ってURLが複数指定できる問題

Masato Kinugawaさんのブログ「Masato Kinugawa Security Blog: Googleのmetaリダイレクトに存在した問題」を読んで、

<meta http-equiv="refresh" content="0;url=http://good/;url=http://evil/">

みたいな書き方をするとIE6、IE7ではevilなほうにリダイレクトされるということを初めて知ったわけですけど、それをTwitter上で言ったら

@hasegawayosuke あれ、意外！古いXSSチートシートにもついてるよ！ URL

2012-03-01 12:45:45 via web to @hasegawayosuke

みたいに言われてしまって軽くショック受けたんで追試してみたけど、「;」をエスケープしようと

<meta http-equiv="refresh" content="0;url=http://good/&#x3b;url=http://evil/">

みたいに書いても、「;url=」みたいな文字列が出現してしまって、やっぱりevilにリダイレクトされてしまう。なので、本気でオープンリダイレクタをつぶそうと思うと

<meta http-equiv="refresh" content="0;url='http://good/&#x3b;url=http://evil/'">

のように記述する必要があるわけで、なかなかバッドノウハウ色の強いおもしろい事象だったのでちょっと感動して久々に日記を書いてしまいました。

(追記)

そもそもリダイレクト先に「'」が含まれているのでこれを &#x27; みたいにエスケープしてると

<meta http-equiv="refresh" content="0;url='http://good/&#x3b;&#x27;url=http://evil/'">

みたいになって、やっぱりevilにリダイレクトされちゃう。なにこれひどい。

ツイートする