「IEのXSSバグで任意サイトのCookieが漏洩」記事へのコメント

こんなに具体的に書いて、

[torus (9980)]

大丈夫なのかな . . .。

ショッピングサイトなど絶対的なセキュリティの求められるサイトでは、 クッキーの安易な使い方などはされていないと期待したいところですが、 どうもその期待は楽観的すぎるようなので . . .。

--
use Test::More 'no_plan';

Re:こんなに具体的に書いて、

[tomatsu (2545)]

どんなに危機にさらされていても、実害が出ないと動けない所は、実害が出てからでないと、何も変えないでしょう。

この情報で、攻撃手法は増えても、危機の度合いは変わらないのではないかと……

Re:こんなに具体的に書いて、

[torus (9980)]

んー、攻撃のしかたはこんなに分かりやすく書いてあるのに、 危険を防ぐための情報は書いてないのは、 やっぱりちょっと、っておもいます。

もちろんこういうときに、 ろくな対応がとれないだめなサイトを使っているユーザが悪いということはいくらでもいえますが、 だからといって見殺しにもできないで

--
use Test::More 'no_plan';

Re:こんなに具体的に書いて、

[Anonymous Coward]

jscriptを止めるだけなんですが、文面からは判断できないですか？

Re:こんなに具体的に書いて、

[torus (9980)]

えーと、 それはクライアント側の設定ですが、 XSS でやられるサーバ側の人はどうやればいいんでしょうか。

--
use Test::More 'no_plan';

Re:こんなに具体的に書いて、

[Anonymous Coward]

意味分かって書いてます？

Re:こんなに具体的に書いて、

[torus (9980)]

XSS の脆弱性って、 ウェブサイトの設定なり CGI などのアプリケーションに問題があって発生するものが多いですよね。 で、その場合は、サーバ側のサイトの方がちゃんとできていれば防げるわけですよね。

でも、今回のは、（最初のやつは厳密には XSS には分類されていないように）サイト管理者側では防ぎようがないですよねぇ。

--
use Test::More 'no_plan';

Re:こんなに具体的に書いて、

[Anonymous Coward]

人の噂も一週間 [rinc.or.jp]

これの下のほうにまとまってる。
倉田わたるのミクロコスモス -- その小宇宙のごく一部から -- [neweb.ne.jp]

Re:こんなに具体的に書いて、

[Anonymous Coward]

結局何も分かってなかったということか。

Re:こんなに具体的に書いて、

[Anonymous Coward]

誰かCross Site Scripting [atmarkit.co.jp]の基礎教えてやれよ。

Re:こんなに具体的に書いて、

[Anonymous Coward]

>jscriptを止めるだけなんですが、文面からは判断できないですか？

全くですねぇ。
ちょっとでもセキュリティが云々とか言ってる人にとって、Java Script, JScript を無効にするのは常識だと思っていたんですが、何から何まで教えて貰わないとダメですかねぇ?

Re:こんなに具体的に書いて、

[Anonymous Coward]

それはわかるのですが、業務上使わざるを得ないいくつかの通販の
サイトがスクリプトを切っていると使えません。(しかもIEでないと
ダメだったりします)
そういうサイトだけIE+スクリプト有効でアクセスして、それ以外は
スクリプトを切ったネスケを使ってますが、IEが安全に使えれば、
それに越したことはないと思います。

Re:こんなに具体的に書いて、

[Nekojarashi (12812)]

そういうサイトだけIE+スクリプト有効でアクセスして、それ以外は スクリプトを切ったネスケを使ってますが、IEが安全に使えれば、 それに越したことはないと思います。

IEが使いたいのならインターネットオプションのセキュリティ設定で、必要なサイトだけ信頼済みに入れてスクリプト可にし、それ以外は不可ではいかんのだろうか?

私なんかは極力IE以外を使いたいからこのような [srad.jp]手間かけてますけどね…