「予告.in、XSS攻撃を受け不正コードを埋め込まれる」記事へのコメント

サニタイズ言うな

[tietew (6130)]

×入力データのサニタイズ
○出力データの適切なエスケープ

Re:

[Anonymous Coward]

事件は入力段階で起こるんでないの？

Re:

[Anonymous Coward]

どこでどんなわけわからんデータが入り込もうとも、出力するときに適切にエスケープすれば問題は起こりえないって話です。

Re:

[Anonymous Coward]

んで「入力のときにエスケープしとけば問題なくね？」っていう頭の悪い奴が現れて議論は堂々巡りになるんですね。
夏だし。

Re:

[Anonymous Coward]

素で謎なんですがSQLインジェクションって入力時の問題ですよね。

「安全なウェブサイトの作り方」読めって

[matarillo (12702)]

情報処理推進機構：情報セキュリティ：脆弱性対策：安全なウェブサイトの作り方 [ipa.go.jp]

■根本的解決
1)-1 SQL文の組み立てにバインド機構を利用する

「RDBMSに」「SQLを」「出力するとき」の話だよ。

Re:

[Anonymous Coward]

いや、injectionだから入力時の話って言うこと…かもしれない。

Re:

[Anonymous Coward]

まあたしかにどれもこれも
「evalしてくれるインタプリタに」
「危険なソースになっちゃってるかも知れない文字列を」
「出力するとき」
の話なんだよな。

ところで高木氏のこの文章が興味深いです。

http://takagi-hiromitsu.jp/diary/20051227.html#p03 [takagi-hiromitsu.jp]
＞そもそも、ASPから始まって、JSP、PHP、ERBと受け継がれてきた、 HTML中にプログラムを埋め込むというこの仕組みが、最初からデフォルトでエスケープされるように作られていたらよかったのに

Re:「安全なウェブサイトの作り方」読めって

[Anonymous Coward]

うちの廊下の入口は、リビングの出口です。

Re:「安全なウェブサイトの作り方」読めって

[Anonymous Coward]

ぼくの肛門は入口でしょうか？出口でしょうか？

Re:

[Anonymous Coward]

あなたが美しいボク少女なら入口、そうでないなら出口です。

Re:

[Anonymous Coward]

少女ならわざわざ後ろの穴に突っ込むこともなかろうに。いや、別に否定はしないけど。

Re:

[Anonymous Coward]

「アナール学派と社会史」と似た感じのタイトルのDVDを一枚買ったきりなのに、なんかいろいろおすすめされてしまって…