クロスサイトスクリプティング対策
■ このスレッドは過去ログ倉庫に格納されています
0001名無しさん＠お腹いっぱい。
01/10/27 10:37ID:AENF9z2S簡単にいって、フォームの入力をサーバサイドで処理してHTMLと
して出力する時に、文字のエスケープを適切に行わないと、
Cookieを取得するJavaScriptを埋め込み＆出力結果を別サイトに
リダイレクトする、というような方法を使ってCookieを第三者に
盗まれる可能性がある、ということです。
上の資料を参考にしながら、
それぞれの処理系における、どのようの文字列エスケープを行うべきか、
といったサーバサイドの対策に関する情報を交換していきたいと思います。
0002名無しさん＠お腹いっぱい。
01/10/27 11:07ID:AENF9z2S一番カタイのはタグ禁止ということにして<,>を文字実体参照に変換してしまう
のが手っ取り早いと思います。
0003名無しさん＠お腹いっぱい。
01/10/28 03:25ID:ZO04qCcD最近の具体例が。
http://memo.st.ryukoku.ac.jp/archive/200110.month/index.html
のArticle 1756。見ればわかりますがHTMLタグのエスケープ処理を
忘れてるものと思われます。<SCRIPT>タグなんか埋め込まれた日には
色々悪さされそうです。
0004名無しさん＠お腹いっぱい。
01/11/02 23:53ID:bu2IICno少なくともFORMから入力されたパラメタは、全て読み込んだ時点で
実体参照に置換してしまう(汚染チェックも行う)。
s/&/&/g
s/</</g
s/>/>/g
s/"/"/g
URLやHTTPヘッダもそうするべきだけど、そこまでは辛いか?後は比較などで、
元の文字列でなければ困るところだけ、一時的に元に戻すようにする。
s/</</g
s/>/>/g
s/"/"/g
s/&/&/g
(上記は2chがちゃんと処理してなかった場合ちゃんと見えないかも。
面倒なんでその場合はページのソースを見てください)
必要な箇所での戻し忘れがあった場合の不都合は、比較的簡単に目に見えるので
どってこたない。置換を忘れた場合は見つけにくい上にセキュリティ問題になる
ことを考えれば、これくらい徹底した方がいいのでは?
0005名無しさん＠お腹いっぱい。
01/11/03 00:20ID:zLquoryW00064
01/11/03 00:48ID:???s/</</g
s/>/>/g
s/"/""/g
だ。下のは
s/&/&/g
s/</</g
s/>/>/g
s/""/"/g
ふー…ちゃんと&と"も置換してよ。
0007age
01/11/03 00:52ID:???0008age
01/11/03 17:57ID:???0009名無しさん＠お腹いっぱい。
01/11/03 19:10ID:???ネスケ４で見てね。
00109
01/11/03 19:17ID:???001110
01/11/03 19:17ID:???001210
01/11/03 19:24ID:???001312
01/11/03 19:25ID:???0014名無しさん＠お腹いっぱい。
01/11/04 14:11ID:???0015神じゃないけど
01/11/05 23:36ID:???0016名無しさん＠お腹いっぱい。
01/11/05 23:40ID:gvBrmPxuhttp://www.zdnet.co.jp/news/0111/05/e_wallet.html
0017名無しさん＠お腹いっぱい。
01/11/06 01:05ID:???0018名無しさん＠お腹いっぱい。
01/11/06 01:28ID:???0019
01/11/06 13:33ID:hz5ky/YY0020名無しさん＠お腹いっぱい。
01/11/06 15:28ID:???そーいや、それについての警告を見た事無いな。
何処かに名文ないものかな？
0021名無しさん＠お腹いっぱい。
01/11/06 16:19ID:8Is73jkRこれとか：
http://www.securityfocus.com/archive/1/50782
この著者は先日MicrosoftのPassportの問題を指摘した人物。
Apache Softoware Foundationのメンバーで、1.3.11の同脆弱性を直した人。
0022名無しさん＠お腹いっぱい。
01/11/09 00:12ID:ShSwDwY3クロスサイトスクリプティング対策をやんなきゃいけなくって、
できる限りﾔﾊﾞｰｲのを発見しないといけないんだけどさー、
どうするのがいいかねぇ。
■ このスレッドは過去ログ倉庫に格納されています