JavaEye短信的乐趣

周四上JE，收到一封站内短信，标题为“您对《急，怎么用java正则去匹配<BUTTON id="name">name</BUTTON>,name是一个参数，再把name替换成一个指定的值》的回答已经被采纳”。照例，读完该短信直接删除，然后我看到的是……

您对《急，怎么用java正则去匹配<BUTTON id="name">name</BUTTON>,name是一个参数，再把name替换成一个指定的值》的回答已经被采纳


看到那按钮心里一惊，想验证一下是我眼花了还是遇到bug了，就给Saito同学发了封PM，于是……

您的短信“<BUTTON id=Saito>Saito-kun</BUTTON>”已经成功发送


想看看链接能不能插进来……

您的短信“<a href="http://g.cn"><img src="http://www.google.cn/intl/zh-CN/images/logo_cn.gif" /></a>”已经成功发送


然后再看看脚本能不能插进来……

您的短信“<script type="text/javascript">alert("Hello JavaEye")</script>”已经成功发送


还有页面跳转orz……

您的短信“<script>location = "http://g.cn/search?q=script+injection"</script>”已经成功发送


跟Saito同学试了好些组合发现确实都没被转义，觉得甚是恐怖。
还好现在这个bug已经修复了，感谢robbin～
大家可以不用自己再去试了，不然像之前Saito同学那样玩得太多在短时间内发很多PM的话会被禁发PM的 =_=||||

评论

7 楼 RednaxelaFX 2009-11-22  

Hooopo 写道

http://api.rubyonrails.org/classes/ActionController/Flash.html

naru...看来是这个flash没错～ 谢 ^_^

6 楼 Hooopo 2009-11-22  

http://api.rubyonrails.org/classes/ActionController/Flash.html

5 楼 RednaxelaFX 2009-11-22  

Hooopo 写道

RednaxelaFX 写道

QuakeWang 写道

在flash提示消息中没有使用h escape，这个真是防不胜防啊，等rails 3 default escape的功能出来就好了

那块东西是Flash传过去的数据？咦？……
话说我一直没理解为什么JavaEye要在复制代码的功能上用Flash，是因为其它办法不方便跨平台操纵剪切板么？

此flash非彼flash...quakewang说的flash应该是rails里的flash对象吧。。

唔，flash对象…… << Rails持续小白中，暂时没计划脱白

4 楼 Hooopo 2009-11-22  

RednaxelaFX 写道

QuakeWang 写道

在flash提示消息中没有使用h escape，这个真是防不胜防啊，等rails 3 default escape的功能出来就好了

那块东西是Flash传过去的数据？咦？……
话说我一直没理解为什么JavaEye要在复制代码的功能上用Flash，是因为其它办法不方便跨平台操纵剪切板么？

此flash非彼flash...quakewang说的flash应该是rails里的flash对象吧。。

3 楼 coolspeed 2009-11-22  

介系爱回答问题又爱删短信的fx同学意外发现。由fx来赶在黑客之前发现，恩，上天冥冥中有安排 = =

2 楼 RednaxelaFX 2009-11-22  

QuakeWang 写道

在flash提示消息中没有使用h escape，这个真是防不胜防啊，等rails 3 default escape的功能出来就好了

那块东西是Flash传过去的数据？咦？……
话说我一直没理解为什么JavaEye要在复制代码的功能上用Flash，是因为其它办法不方便跨平台操纵剪切板么？

1 楼 QuakeWang 2009-11-22  

在flash提示消息中没有使用h escape，这个真是防不胜防啊，等rails 3 default escape的功能出来就好了