2008/02/07(木)木曜日ー。（リスクとリターン。）

[セキュリティ] * "XSS Challenges" の集計（その２）

XSS Challenges (by yamagata21) - Stage #1

http://xss-quiz.int21h.jp

![](/image/img200802072243_pageview.png)1/31(木) に公開を始めた * "XSS Challenges"

XSS Challenges (by yamagata21) - Stage #1

http://xss-quiz.int21h.jp

ですが、なんと、一週間で 10万ページビューを達成しました〜♪ （最近はさすがにだいぶアクセスも落ち着いて来ましたｗ）ということで、１週間のアクセスを集計してみました：Stage説明人数zeroページを表示するだけで満足してしまった人5,769人01最初のステージがクリア出来なかった人1,065人02Stage #1 はクリアしたものの、value="" から脱出できなかった人264人03セレクトボックスの改ざんでつまずいてしまった人562人04hiddenフィールドの改ざんが出来なかった人126人05maxlength付きのテキストボックスが突破できなかった人36人06イベントハンドラでのXSSがクリア出来なかった人56人07属性値が囲まれていない場合のXSSが出来なかった人18人08javascript:スキームでのXSSが出来なかった人12人09UTF-7 での XSS が出来なかった人64人10「domain」という文字列が“サニタイズ”されて困った人25人11script, on...=, style= が必要な人40人12属性値を囲むのは「"」と「'」以外に無いと思っている人41人13style属性でのXSSが分からなかった人7人14ブラックリスト方式の除去に翻弄された人15人15document.write() 中の出力を悪用できなかった人15人16document.write() 中の出力を悪用できなかった人その２8人17半端なマルチバイト文字を使ったXSSが解けなかった人3人18US-ASCII の高位ビット無視が解けなかった人2人clearすべてのステージをクリアした人☆78人合　計　（訪問者数）（プレイ人数） 8,206人2,437人セレクトボックスの改ざん、イベントハンドラ、UTF-7、自分で考える必要があるもの（Stage #11、#12）がそれぞれの段階での壁となっているようです。 Stage #17 とかまで来る人は、そのままクリアまで行けちゃう実力を持っているということも窺い知れますね。(^-^;[雑談] いろいろ。