アカウント名:
パスワード:
カジ速にある魚拓のURLを見るとタイトルの通りだと分かる。URLに含まれる%c0%aeが'.'の冗長なUTF8表現で、/../と解釈される。bks.svlとesi.svlに脆弱性があり、本来読むべきディレクトリより上の階層のファイルが参照された結果こうなったと思われる。
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
にわかな奴ほど語りたがる -- あるハッカー
冗長なUTF8によるディレクトリトラバーサル (スコア:4, 参考になる)
カジ速にある魚拓のURLを見るとタイトルの通りだと分かる。
URLに含まれる%c0%aeが'.'の冗長なUTF8表現で、/../と解釈される。
bks.svlとesi.svlに脆弱性があり、本来読むべきディレクトリより上の階層のファイルが参照された結果こうなったと思われる。