Operaでも「jis」を解釈しないようですが、後続のエスケープシーケンスをもとにISO-2022-JPと判断しているようでした*1。いうバイト列は、HTMLをISO-2022-JPと解釈しているFirefox、Operaでは、US-ASCIIへの切り替えのエスケープシーケンスということで意味を持ちません(無視されます)。7バイトが属性の名称となりますので、src属性はまだ与えられていない状態となります。空白文字と同じ扱いになるバイト値です。属性を書くことができました。(0x1B)(0x28)(0x42)src=&quot;...&quot;とします。属性が与えられていますので、この後続のsrc属性は無視されます。属性を書くことができました。src=&quot;...&quot;とすることで、src属性が有効になりました。今回はわざわざ回りくどい方法で文字コードネタを含ませてみましたが、0x00のような、ブラウザによって解釈が異なるような文字の違いを利用すればもっとシンプルに書くこともできます*2。最近は801方面での活躍が華々しいという噂の竹迫さんによる例。アッー!http://wafful.org/2007/09/27/new-browser-detection-web-20-html-hacks/ツイートする*1:Operaでの確認はあんまり深くやっていないので要再調査*2:Safariは2と3で0x00の扱いに差があるそうです。統計情報を収集しています。葉っぱ日記Electronでアプリを書く場合は、気合いと根性でXSSを発生させないようにしなければならない。utf-8.jpブックマーク。