徳丸浩ã®æ—¥è¨˜ã‚µãƒžãƒª ISO-2022-JPエンコーディングã®èª¤åˆ¤å®šã‚’悪用ã—ãŸXSSã®æŠ€æ³•ã¨ã—ã¦Encoding Differentials: Why Charset Matters | Sonarã®Technique 2を紹介ã™ã‚‹ã€‚ã“ã‚Œã¯ã€HTMLã®å±žæ€§ã‚’囲むダブルクォートç‰ã‚’ISO-2022-JPã®2ãƒã‚¤ãƒˆæ–‡å—ã¨èª¤èªã•ã›ã‚‹ã“ã¨ã«ã‚ˆã£ã¦å¼•ç”¨ç¬¦ã®åŠ¹æžœã‚’無効化ã•ã›ã‚‹ã“ã¨ã«ã‚ˆã‚‹XSSã§ã‚る。本稿ã§ç´¹ä»‹ã™ã‚‹æ”»æ’ƒã¯ã€å¾“æ¥ã‹ã‚‰ã®ã‚»ã‚ュリティベストプラクティスã§ã‚る「文å—エンコーディングã®æ˜Žç¤ºã€ã«å¾“ã£ã¦ã„ã‚Œã°å½±éŸ¿ã‚’å—ã‘ã‚‹ã“ã¨ã¯ãªã„。 ã“ã“ã§ç´¹ä»‹ã™ã‚‹æ”»æ’ƒã¯ã€ã¯ã›ãŒã‚よã†ã™ã‘æ°ã®ãƒ–ãƒã‚°è¨˜äº‹ISO-2022-JPã«ã‚ˆã‚‹XSSã®è©± - 葉ã£ã±æ—¥è¨˜ã§ç´¹ä»‹ã•ã‚Œã¦ã„る「2. 属性値やテã‚ストノードã®ã‚¨ã‚¹ã‚±ãƒ¼ãƒ—ã®ãƒã‚¤ãƒ‘スã€ã¨åŒã˜åŽŸç†ã§ã‚ã‚Šã€æœ¬è¨˜äº‹ã®æ–¹ãŒæ¡ä»¶ãŒè¤‡é›‘ã§ã‚ã‚‹ãŒã€ã‚¨ã‚¹ã‚±ãƒ¼ãƒ—対象ã®æ–‡å—ã«é–¢ã™ã‚‹åˆ¶ç´„ã¯ç·©ã‚„ã‹ã§ã‚る。 ã¯ã˜ã‚ã«
{{#tags}}- {{label}}
{{/tags}}