  |
http://anond.hatelabo.jp/(好きな子のはてな ID)/edit?body=%3C%2Ftextarea%3E%3Cscript%3Ealert%28%22%E3%81%99%E3%81%8D%E3%81%A7%E3%81%99%22%29%3B%3C%2Fscript%3E
こんな感じの URL で適当に短縮 URL 作成して、うまいこと踏んでもらう。自分で書いといてなんだけど、やられたくない。
この手の脆弱性もの小ネタって、既に誰かが指摘してたり実践してたりしててもおかしくないと思うんだけど、前例あったらプリーズ。
あと、そこまでやばいもんでもないと思って書いたけど、やばかったら適当に修正します。
追記。
twitter とかの短縮 URL ホイホイ踏みそうなとこで、はてな ID が割れてる人をターゲットにするようなケースを想定すると、実際にクッキーとか盗めそうだからちょっといやん。セッション用のクッキーって IP 違うと無効になったりしてくれるのかな。ならなきゃなりすましも可能でいやいやん。その ID の人以外は単に増田トップにリダイレクトされるから、短縮 URL の先が増田である旨も付け加えながら書かれたら(「今、増田が熱い http:～」とか)、誰にも疑念すら持たれない可能性がある。いや踏んだターゲットさんは疑念持つからいいのか。でも持ったところで後の祭りになってたらどうしよう。あーでもはてラボではパスワード変えられないから丸ごとハイジャックされてお祭り騒ぎとかは無いか。うん、きっと今のところ & これ単体ではそれほどまでにはやばくはない、はず。
11
