togetterの脆弱性まとめ

laiso👻 @laiso

Togetter - まとめ「Togetterで捏造ツイートを投稿できるかのテスト」 http://togetter.com/li/26927

laiso👻 @laiso

これ対策たいへんそうだなあ

laiso👻 @laiso

でもTogetterほどのサイトつくれる人ならたぶん認識してそう

laiso👻 @laiso

クライアントでHTMLが書き換えられないようにするのってjsでできるのかなあ

laiso👻 @laiso

status_idを全部検出にかけるとかはちょっとUX落しまくるよねえ

laiso👻 @laiso

んースマートな対策を模索してみたんだけどわからない。はてなの詳しいひとにまかせます

laiso👻 @laiso

あ、 http://b.hatena.ne.jp/rna/20100605#bookmark-22086442 でいいのか（？）

laiso👻 @laiso

http://twitter.com/rikuo/status/15482649853 がキモっぽい

@syawatan

とぅぎゃったーであそぶ

@syawatan

「togetterのセキュリティーホール突いてみた」をトゥギャりました。 http://togetter.com/li/26940

@syawatan

とぅぎゃったーおもしれぇｗ

@syawatan

さーてtogetter捏造祭りの始まりだ

@syawatan

追加 http://togetter.com/li/26940

いとおちゃん @i315

ま　た　お　ま　え　か いいなぁ http://togetter.com/li/26940

@syawatan

いやまぁ俺が同じようなの作ったらこれと同じセキュリティーホールできるなぁｗ

@syawatan

おいしい RT togetterのセキュリティーホール突いてみた http://togetter.com/li/26940

@syawatan

さーて別のホールつくぞ。

@syawatan

実際に存在しないアカウントにリンクさせることに成功

@syawatan

XSSｷﾀ━━━━(ﾟ∀ﾟ)━━━━!! RT togetterのセキュリティーホール突いてみた http://togetter.com/li/26940

@syawatan

あとは画像入れておしまいにしようｗ

@syawatan

えへへ http://togetter.com/li/26940

カル @nullkal

XSSでは無いと思うのだがなあ http://togetter.com/li/26940

@syawatan

@nullkal これでcss使えばjs埋め込めるんじゃない？

カル @nullkal

@syawatan それはスクリプトインサートです

@syawatan

@nullkal えー