「IEのXSSバグで任意サイトのCookieが漏洩」記事へのコメント

こんなに具体的に書いて、

[torus (9980)]

大丈夫なのかな . . .。

ショッピングサイトなど絶対的なセキュリティの求められるサイトでは、 クッキーの安易な使い方などはされていないと期待したいところですが、 どうもその期待は楽観的すぎるようなので . . .。

--
use Test::More 'no_plan';

Re:こんなに具体的に書いて、

[tomatsu (2545)]

どんなに危機にさらされていても、実害が出ないと動けない所は、実害が出てからでないと、何も変えないでしょう。

この情報で、攻撃手法は増えても、危機の度合いは変わらないのではないかと……

Re:こんなに具体的に書いて、

[torus (9980)]

んー、攻撃のしかたはこんなに分かりやすく書いてあるのに、 危険を防ぐための情報は書いてないのは、 やっぱりちょっと、っておもいます。

もちろんこういうときに、 ろくな対応がとれないだめなサイトを使っているユーザが悪いということはいくらでもいえますが、 だからといって見殺しにもできないで

--
use Test::More 'no_plan';

Re:こんなに具体的に書いて、

[Anonymous Coward]

jscriptを止めるだけなんですが、文面からは判断できないですか？

Re:こんなに具体的に書いて、

[torus (9980)]

えーと、 それはクライアント側の設定ですが、 XSS でやられるサーバ側の人はどうやればいいんでしょうか。

--
use Test::More 'no_plan';

Re:こんなに具体的に書いて、

[Anonymous Coward]

意味分かって書いてます？

Re:こんなに具体的に書いて、

[torus (9980)]

XSS の脆弱性って、 ウェブサイトの設定なり CGI などのアプリケーションに問題があって発生するものが多いですよね。 で、その場合は、サーバ側のサイトの方がちゃんとできていれば防げるわけですよね。

でも、今回のは、（最初のやつは厳密には XSS には分類されていないように）サイト管理者側では防ぎようがないですよねぇ。

--
use Test::More 'no_plan';

Re:こんなに具体的に書いて、

[Anonymous Coward]

人の噂も一週間 [rinc.or.jp]

これの下のほうにまとまってる。
倉田わたるのミクロコスモス -- その小宇宙のごく一部から -- [neweb.ne.jp]