身近なXSS(小ネタ)

| コメント(2) | トラックバック(0)

今回は先日小耳にはさんだネタを紹介しておきましょう
皆様ご存知の通り、グーグル先生ところで検索をかけるとアドレスの後ろに諸々のオプションスイッチが付けられて検索が実行されます。これは大部分が検索オプションのページで設定されるのもですが、中には説明されていないスイッチだのexperimentalなスイッチが存在したりします。
それは、日夜機能拡張に勤しむ勤勉な先生ゆえともいえるでしょう。しかしながら、時折その勤勉さが仇となったりする事もあります。
付加した機能が予想外の挙動をとってしまう、平たく言ってしまえば脆弱性を作ってしまうという事もしばしば見受けられる訳です。
大先生がそんなこと?って思われるでしょうが、巨大とはいえそこは人のやる事、Krackerだのhackerが中の人のイマジネーションの範疇をしばしば超えていく訳です。

さて、以下の検索結果をご覧下さい。

search_sample.png

検索クエリは以下の様なものです。

http://www.google.co.jp/search?btnI&q=allinurl:http://chuwa.iobb.net/tech/

上記の表示は期待した結果が表示されています。

ところが、このクエリを以下の様に書き換えてブラウザのアドレスバーにペースト...

http://www.google.co.jp/search?btnI&q=allinurl:http://www.yahoo.co.jp

結果は載せませんが、見事にリダイレクトしちゃいますねぇ〜
どうもhttp://に続いてwwwが来ると挙動が変わっちゃうみたいです。
この挙動は少々まずいです。pshishingに利用されかねませんね。

トラックバック(0)

トラックバックURL: /321

コメント(2)

なんかTwitterで言及されていたのでお知らせ。
http://twitter.com/#!/ockeghem/status/35129660593405952

コメントする