「The Cross Site Scripting FAQ」記事へのコメント

XSSで引き起こされる被害

[Anonymous Coward]

XSSで引き起こされる被害というのは、大きく分けて

• Cookieを盗まれる
• ブラウザのセキュリティホールを突いてクライアントにいらん事される（ファイルを読み出されたり消されたり実行ファイルを突っ込まれたり）

という2種類ですよね。
前者に付いては、要は「Cookieを盗まれても大丈夫」な仕組みにしておけば問題ない。
たとえば、セッションキーをCookieで保持するようにしているのであれば、そのセッションキーを生成する時にクライアントのIPアドレスを含むデータをMD5して作るとかすれば、他のIPアドレスからのセッションハイジャックは検出できる。

Officeさんのこと？

[Anonymous Coward]

> 更にちょっとでも見つかろうものなら鬼の首でも取ったかのように騒ぎ立てて「○○のサイトは脆弱だ」とか言って回る頭悪そうなヤツもいるし。

って、あのOfficeさんのこと？

たしかに、手あたり次第にあちこちのサイト管理者にXSS脆弱性についてなにも考えずに注意しまくったり、XSS以外の周りのことが見えなかったり、

Re:Officeさんのこと？

[Anonymous Coward]

まぁ、(自称)セキュリティ専門家なんてこんなもんよ。
重箱の隅につついて、ほこりが出たら騒ぎ立てる。そうやってカネを得ようとするのが商売だからねぇ。仕方ないんじゃないすか。

本当にいい人な

Re:Officeさんのこと？

[Anonymous Coward]

>本当にいい人ならこっそり会社に教えて、ちゃんと対応すればそのまま音便に済ませるでしょう。

Office氏はそのように行動してるが何か?
その上でちゃんと対応しないので公開してるのだが何か?

#たしかに口は悪いけどね

Re:Officeさんのこと？

[Anonymous Coward]

その上でちゃんと対応しないので公開してるのだが何か?

相手が自分の思う通りの行動を取らなかったからと言って騒ぎ立てるのは、右翼が街宣車で騒いでるのと一緒だね。

Re:Officeさんのこと？

[Anonymous Coward]

「あの橋渡るのは危険だよ」と教えるのと街宣車が一緒かい(w
で、その危険な橋つくった連中を非難するのも。

#たしかに口は悪いが

Re:Officeさんのこと？

[Anonymous Coward]

「買ってはいけない」とおなじレベルの騒ぎ方では？ 買ってはいけないは買ってもいないが何か。

Re:Officeさんのこと？

[Anonymous Coward]

「買ってはいけない」は誰が教えてくれるの？