Shibuya.XSS techtalk #7 ã®è³‡æ–™ã§ã™ã€‚
明日ã‹ã‚‰ä½¿ãˆã‚‹?! PATHã§XSSã™ã‚‹æŠ€è¡“/ Shibuya.XSS techtalk #7
Shibuya.XSS techtalk #7 ã®è³‡æ–™ã§ã™ã€‚
Engadget | Technology News & Reviews
The best of CES 2025Presenting our 12 finalists, plus the winner of our best in show award.
XSSå†å…¥é–€
4. 典型的ãªXSSサンプルã«å¯¾ã™ã‚‹ã€Œç´ 朴ãªç–‘å•ã€ • クッã‚ーã®å€¤ãŒã‚¢ãƒ©ãƒ¼ãƒˆã§è¡¨ç¤ºã•ã‚Œã¦ã‚‚ã€ç‰¹ã«å±é™ºæ€§ã¯ãªã„よ ã†ãªæ°—ãŒã™ã‚‹ • クッã‚ーã®å€¤ã¯ãƒ–ラウザã®ã‚¢ãƒ‰ã‚ªãƒ³ãªã©ã§ã‚‚表示ã§ãるよã • ä»»æ„ã®JavaScriptãŒå®Ÿè¡Œã•ã‚Œã‚‹ã¨è¨€ã£ã¦ã‚‚ã€ãƒ›ãƒ¼ãƒ ページ作 ã‚Œã°ä»»æ„ã®JavaScriptãŒæ›¸ã‘ã‚‹ã—ã€è¦‹ãŸäººã®ãƒ–ラウザã§å®Ÿè¡Œ ã•ã‚Œã‚‹ã‚ˆã… Copyright © 2013 HASH Consulting Corp. 4 5. ãã‚‚ãã‚‚ã®ç–‘å•ï¼šJavaScriptã¯å±é™ºã‹? • 実ã¯ã€JavaScriptã®å®Ÿè¡Œè‡ªä½“ã¯å±é™ºã§ã¯ãªã„ • Webã¯ã€æœªçŸ¥ã®ï¼ˆã²ã‚‡ã£ã¨ã™ã‚‹ã¨æ‚ªæ„ã®ã‚ã‚‹?）サイトを訪å•ã— ã¦ã‚‚「悪ã„ã“ã¨ã€ãŒèµ·ããªã„よã†ã«è¨è¨ˆã•ã‚Œã¦ã„ã‚‹ • JavaScriptã®ã€Œã‚µãƒ³ãƒ‰ãƒœãƒƒã‚¯ã‚¹ã€ã«ã‚ˆã‚‹ä¿è· – JavaScriptã‹ã‚‰ãƒãƒ¼ã‚«ãƒ«ãƒ•ã‚¡ã‚¤ãƒ«ã«ã‚¢ã‚¯ã‚»ã‚¹ã§ããªã„ – JavaScriptã‹ã‚‰ã‚¯ãƒªãƒƒãƒ—
ã¯ã¦ãªã‚°ãƒ«ãƒ¼ãƒ—ã®çµ‚了日を2020å¹´1月31æ—¥(金)ã«æ±ºå®šã—ã¾ã—㟠- ã¯ã¦ãªã®å‘ŠçŸ¥
ã¯ã¦ãªã‚°ãƒ«ãƒ¼ãƒ—ã®çµ‚了日を2020å¹´1月31æ—¥(金)ã«æ±ºå®šã—ã¾ã—㟠以下ã®ã‚¨ãƒ³ãƒˆãƒªã®é€šã‚Šã€ä»Šå¹´æœ«ã‚’目処ã«ã¯ã¦ãªã‚°ãƒ«ãƒ¼ãƒ—を終了予定ã§ã‚る旨をãŠçŸ¥ã‚‰ã›ã—ã¦ãŠã‚Šã¾ã—ãŸã€‚ 2019年末を目処ã«ã€ã¯ã¦ãªã‚°ãƒ«ãƒ¼ãƒ—ã®æ供を終了ã™ã‚‹äºˆå®šã§ã™ - ã¯ã¦ãªã‚°ãƒ«ãƒ¼ãƒ—日記 ã“ã®ãŸã³ã€æ£å¼ã«çµ‚了日を決定ã„ãŸã—ã¾ã—ãŸã®ã§ã€ä»¥ä¸‹ã®é€šã‚Šã”確èªãã ã•ã„。 終了日: 2020å¹´1月31æ—¥(金) エクスãƒãƒ¼ãƒˆå¸Œæœ›ç”³è«‹æœŸé™:2020å¹´1月31æ—¥(金) 終了日以é™ã¯ã€ã¯ã¦ãªã‚°ãƒ«ãƒ¼ãƒ—ã®é–²è¦§ãŠã‚ˆã³æŠ•ç¨¿ã¯è¡Œãˆã¾ã›ã‚“。日記ã®ã‚¨ã‚¯ã‚¹ãƒãƒ¼ãƒˆãŒå¿…è¦ãªæ–¹ã¯ä»¥ä¸‹ã®è¨˜äº‹ã«ã—ãŸãŒã£ã¦æ‰‹ç¶šãã‚’ã—ã¦ãã ã•ã„。 ã¯ã¦ãªã‚°ãƒ«ãƒ¼ãƒ—ã«æŠ•ç¨¿ã•ã‚ŒãŸæ—¥è¨˜ãƒ‡ãƒ¼ã‚¿ã®ã‚¨ã‚¯ã‚¹ãƒãƒ¼ãƒˆã«ã¤ã„㦠- ã¯ã¦ãªã‚°ãƒ«ãƒ¼ãƒ—日記 ã”利用ã®ã¿ãªã•ã¾ã«ã¯ã”迷惑をãŠã‹ã‘ã„ãŸã—ã¾ã™ãŒã€ã©ã†ãžã‚ˆã‚ã—ããŠé¡˜ã„ã„ãŸã—ã¾ã™ã€‚ 2020-06-25 追記 ã¯ã¦ãªã‚°ãƒ«ãƒ¼ãƒ—日記ã®ã‚¨ã‚¯ã‚¹ãƒãƒ¼ãƒˆãƒ‡ãƒ¼ã‚¿ã¯2020å¹´2月28
XSSã®æ”»æ’ƒæ‰‹æ³•ã„ã‚ã„ã‚ - ã†ãªã®æ—¥è¨˜
html5securityã®ã‚µã‚¤ãƒˆã«ã€XSSã®å„種攻撃手法ãŒã¾ã¨ã‚られã¦ã„ã‚‹ã®ã‚’発見ã›ã‚Š!ã¨ã„ã†ã“ã¨ã§ã€å€‹äººçš„ã«ã€ŒãŠ!ã€ã¨æ€ã£ãŸæ”»æ’ƒã‚’サンプルã¤ãã§ã”紹介ã—ã¾ã™ã€‚ 1. CSS Expression IE7以å‰ã«ã¯ã€ŒCSS Expressionsã€ã¨ã„ã†æ‹¡å¼µæ©Ÿèƒ½ãŒã‚ã‚Šã€CSS内ã§JavaScriptを実行ã§ããŸã‚Šã—ã¾ã™ã€‚ <div style="color:expression(alert('XSS'));">a</div> ç¢ºèª @IT -［柔軟ã™ãŽã‚‹ï¼½IEã®CSS解釈ã§èµ·ã“ã‚‹XSS ã§è©³ã—ã解説ã•ã‚Œã¦ã„ã¾ã™ãŒã€CSSã®è§£é‡ˆãŒæŸ”軟ãªã“ã¨ã¨ã‚‚ã‚ã„ã¾ã£ã¦è‡ªå‰ã§ç„¡å®³åŒ–ã™ã‚‹ã®ã¯ãªã‹ãªã‹å›°é›£ã€‚以下ã®ã‚ˆã†ãªã‚³ãƒ¼ãƒ‰ã§ã‚‚スクリプトãŒå®Ÿè¡Œã•ã‚Œã¦ã—ã¾ã„ã¾ã™ã€‚ <div style="color:expr/* コメントã®æŒ¿å…¥ */ession(alert('XSS'));">a</div> ç¢ºèª <div s
秀逸ãªXSSã®ç·´ç¿’サイト | スラド ã‚»ã‚ュリティ
ã¯ã¦ãªãƒ–ックマーク経由ã§çŸ¥ã£ãŸã®ã§ã™ãŒã€XSS Challenges ã¨ã„ã†XSSã®ç·´ç¿’サイトãŒå…¬é–‹ã•ã‚Œã¦ã„ã¾ã™ã€‚å…¨18å•ã€å˜ç´”ãªã‚‚ã®ã‹ã‚‰å§‹ã¾ã‚Šã€ã ã‚“ã ã‚“ã¨é›£ã—ããªã£ã¦ã„ãよã†ã§ã™ã€‚一部ã®å•é¡Œã§ã¯IEã®ã¿å¯¾å¿œã®ã‚ˆã†ã§ã™ãŒã€ãƒ¡ãƒ¼ãƒ«ã‚¢ãƒ‰ãƒ¬ã‚¹ã‚’登録ã™ã‚‹ã¨ã©ã“ã¾ã§ã‚¯ãƒªã‚¢ã—ãŸã‹ã®ãƒ©ãƒ³ã‚ングも表示ã•ã‚ŒãŸã‚Šã¨ã€ãŠã‚‚ã—ã‚ã„仕上ãŒã‚Šã«ãªã£ã¦ã„ã¾ã™ã€‚ 普段ã¯ãªã‹ãªã‹å®Ÿéš›ã«XSSを体感ã§ãる機会ã¯å°‘ãªã„ã¨æ€ã„ã¾ã™ã€‚ã²ã¨ã¤è…•è©¦ã—ã«ãƒˆãƒ©ã‚¤ã—ã¦ã¿ã¦ã¯ã„ã‹ãŒã§ã—ょã†ã‹ã€‚ã¡ãªã¿ã«ã‚¿ãƒ¬ã‚³ãƒŸå㯠Stage #5 ã§éŸ³ã‚’上ã’ã¦ã—ã¾ã„ã¾ã—ãŸã€‚
Perlを使ã£ã¦è„†å¼±æ€§ã‚’検証ã™ã‚‹ï¼šCodeZine
ã¯ã˜ã‚㫠今回ã¯XSSã®è„†å¼±æ€§ã‚’ãƒã‚§ãƒƒã‚¯ã™ã‚‹Perlスクリプトを作æˆã—ãŸã„ã¨æ€ã„ã¾ã™ã€‚ã™ã¹ã¦ã®XSSã«ã‚ˆã‚‹è„†å¼±æ€§ãŒå›žé¿ã§ãã‚‹ã‚ã‘ã§ã¯ã‚ã‚Šã¾ã›ã‚“ãŒã€ãƒ†ã‚¹ãƒˆã‚³ãƒ¼ãƒ‰ä½œæˆã®ãƒ’ントã«ãªã‚Œã°å¹¸ã„ã§ã™ã€‚ 対象èªè€… Webアプリケーション開発者ã§ã€XSSã®ãƒ†ã‚¹ãƒˆã‚±ãƒ¼ã‚¹ã‚’作æˆã—ãŸã„方。 å¿…è¦ãªç’°å¢ƒ Perl 5.8以上ãŒå‹•ä½œã™ã‚‹ç’°å¢ƒã€‚基本動作ã®ç¢ºèªã¯Mac OS Xを利用ã—ã¾ã—ãŸã€‚次ã®Perlモジュールを利用ã™ã‚‹ã®ã§ã€ã‚らã‹ã˜ã‚インストールã—ã¦ãŠã„ã¦ãã ã•ã„。 Template::Toolkit Web::Scraper Test::Base ã¾ãŸCGIを使用ã™ã‚‹ã®ã§ã€Apacheãªã©ã®CGIãŒå®Ÿè¡Œã§ãã‚‹Webサーãƒã‚’用æ„ã—ã¦ãã ã•ã„。 解説内容 ソースコード解説 ã¾ãšæœ€åˆã«ã‚½ãƒ¼ã‚¹ã‚³ãƒ¼ãƒ‰ã®è§£èª¬ã‚’ã—ã¾ã™ã€‚ xss.pl
HTML::StripScriptsã§XSS対ç–ã‚’ã™ã‚‹ - Kentaro Kuribayashi's blog
先日公開ã—ãŸã€Œã¯ã¦â˜†ã™ãŸã‚¢ãƒ³ã‚±ãƒ¼ãƒˆã€ã«ã¦ã€ã‚¢ãƒ³ã‚±ãƒ¼ãƒˆã®èª¬æ˜Žæ–‡ã‚’ã¯ã¦ãªè¨˜æ³•ã§æ›¸ã‘るよã†ã€æ©Ÿèƒ½è¿½åŠ ã‚’è¡Œã£ãŸã€‚ãã®éš›ã€Template::Plugin::Hatenaを用ã„ãŸã€‚ã“ã‚Œã¯ã€ã¯ã¦ãªè¨˜æ³•ãƒ‘ーサã§ã‚ã‚‹Text::Hatena（æ£ç¢ºã«ã¯ã€ãã®ãƒ´ã‚¡ãƒ¼ã‚¸ãƒ§ãƒ³0.16以下）をã€Template::Toolkitã®ãƒ—ラグインã¨ã—ã¦ä½¿ãˆã‚‹ã‚ˆã†ã«ã—ãŸã‚‚ã®ã§ã‚る。 ã¯ã¦ãªè¨˜æ³•ã¯ã€ãれ自体ã§å…¨ã¦ã®æ–‡æ›¸æ§‹é€ を表ç¾ã§ãã‚‹ã€ã‚ã‚‹ã„ã¯ã€ã¯ã¦ãªãƒ€ã‚¤ã‚¢ãƒªã®ã‚·ã‚¹ãƒ†ãƒ 自体ã¯ã€ã¯ã¦ãªè¨˜æ³•ã®ã¿ã—ã‹è¨±å®¹ã—ãªã„ã¨ã„ã†ã‚‚ã®ã§ã¯ãªãã€ãŸã¨ãˆã°ç”»åƒã‚’貼る際ã«ã¯ã€æ™®é€šã«imgè¦ç´ を書ãå¿…è¦ãŒã‚ã‚‹ã—ã€ã¾ãŸã€ãã®ä»–ã®è¦ç´ ã«ã¤ã„ã¦ã‚‚ã€è¨˜æ³•ãŒç”¨æ„ã•ã‚Œã¦ã„ãªã„ã‚‚ã®ã«ã¤ã„ã¦ã¯ã€ã€Œã¯ã¦ãªãƒ€ã‚¤ã‚¢ãƒªãƒ¼ã®ãƒ˜ãƒ«ãƒ— - ã¯ã¦ãªãƒ€ã‚¤ã‚¢ãƒªãƒ¼åˆ©ç”¨å¯èƒ½ã‚¿ã‚°ã€ã«æŽ²è¼‰ã•ã‚Œã¦ã„ã‚‹ã‚‚ã®ã«é™ã‚Šã€è‡ªåˆ†ã§ã‚¿ã‚°ã‚’書ãã“ã¨ãŒã§ãる。ã“ã‚Œã¯è‡ªç”±åº¦ã‚’高ã‚ã‚‹åé¢ã§ã€XSSを誘発ã—得る潜在的ãªãƒª
ã¾ã ã¾ã ã‚るクãƒã‚¹ã‚µã‚¤ãƒˆãƒ»ã‚¹ã‚¯ãƒªãƒ—ティング攻撃法
å‰å›žã¯ã‚¯ãƒã‚¹ã‚µã‚¤ãƒˆãƒ»ã‚¹ã‚¯ãƒªãƒ—ティングã®ãœã„弱性をçªã攻撃ã®å¯¾ç–ã¨ã—ã¦ã®HTMLエンコードã®æœ‰åŠ¹æ€§ã‚’è¿°ã¹ãŸã€‚ãŸã ，HTMLエンコードã ã‘ã§ã¯ã‚¯ãƒã‚¹ã‚µã‚¤ãƒˆãƒ»ã‚¹ã‚¯ãƒªãƒ—ティング攻撃を完全ã«é˜²å¾¡ã™ã‚‹ã“ã¨ã¯ã§ããªã„。ãã“ã§ä»Šå›žã¯ï¼ŒHTMLエンコードã§å¯¾å‡¦ã§ããªã„タイプã®ã‚¯ãƒã‚¹ã‚µã‚¤ãƒˆãƒ»ã‚¹ã‚¯ãƒªãƒ—ティング攻撃ã®æ‰‹å£ã¨ï¼Œãã®å¯¾ç–ã«ã¤ã„ã¦è§£èª¬ã™ã‚‹ã€‚ HTMLエンコードã§å¯¾å‡¦ã§ããªã„攻撃ã«ã¯ï¼Œæ¬¡ã®ã‚ˆã†ãªã‚‚ã®ãŒã‚る。 ã‚¿ã‚°æ–‡å—ã®å…¥åŠ›ã‚’許容ã—ã¦ã„ã‚‹å ´åˆï¼ˆWebメール，ブãƒã‚°ãªã©ï¼‰ CSS（カスケーディング・スタイルシート）ã®å…¥åŠ›ã‚’許容ã—ã¦ã„ã‚‹å ´åˆï¼ˆãƒ–ãƒã‚°ãªã©ï¼‰ æ–‡å—コードを明示ã—ã¦ã„ãªã„ケースã§UTF-7æ–‡å—コードã«ã‚ˆã‚‹ã‚¯ãƒã‚¹ã‚µã‚¤ãƒˆãƒ»ã‚¹ã‚¯ãƒªãƒ—ティング <SCRIPT>ã®å†…容を動的ã«ç”Ÿæˆã—ã¦ã„ã‚‹å ´åˆ Aã‚¿ã‚°ãªã©ã®URLã‚’å‹•çš„ã«ç”Ÿæˆã—ã¦ã„ã‚‹å ´åˆæ³¨ï¼‰ 以下ã§ã¯ï¼ŒHTMLã‚¿ã‚°ã‚„CSSã®å…¥åŠ›ã‚’許容ã—ã¦ã„ã‚‹å ´åˆã¨ï¼Œæ–‡å—コードを明
第1回　悪æ„ã®JavaScriptã§æƒ…å ±ãŒæ¼ãˆã„：ITpro
Web 2.0ã¨ã„ã†è¨€è‘‰ã§ç·ç§°ã•ã‚Œã‚‹æ–°ãŸãªã‚¤ãƒ³ã‚¿ãƒ¼ãƒãƒƒãƒˆæ™‚代。Webサイトやエンドユーザーã«ä»•æŽ›ã‘られる攻撃もã¾ãŸï¼Œ2.0ã¨å‘¼ã¶ã¹ã進化をé‚ã’よã†ã¨ã—ã¦ã„る。攻撃者ã¯Web 2.0ã®ä¸æ ¸æŠ€è¡“ã§ã‚ã‚‹JavaScriptを悪用ã—ã¦ãƒ–ラウザを狙ã†ã€‚従æ¥ã®è„…å¨å¯¾ç–ã¯å…¨ã通用ã—ãªã„。今ã“ã®çž¬é–“ã«ã‚‚，エンドユーザーã¯å€‹äººæƒ…å ±ã‚’ç›—ã¾ã‚Œã‚‹å±é™ºã«ã•ã‚‰ã•ã‚Œã¦ã„る。 ブãƒã‚°/SNSãªã©ãƒ¦ãƒ¼ã‚¶ãƒ¼ç™ºä¿¡åž‹ã®ã‚µã‚¤ãƒˆï¼ŒAjax，RSS──。è¯ã‚„ã‹ã•ãŒã‚¯ãƒãƒ¼ã‚ºã‚¢ãƒƒãƒ—ã•ã‚Œã‚‹Web 2.0。ã¨ã“ã‚ãŒãã®è£å´ã§ã¯ï¼Œã‚¨ãƒ³ãƒ‰ãƒ¦ãƒ¼ã‚¶ãƒ¼ã«æƒ…å ±ç›—é›£ãªã©ã®å±é™ºãŒåºƒãŒã£ã¦ã„る（図1）。インターãƒãƒƒãƒˆãƒ»ãƒãƒ³ã‚ングやEC（電å商å–引）サイトã®ãƒ¦ãƒ¼ã‚¶ãƒ¼IDやパスワード，クレジットカード番å·ã¯ã‚‚ã¡ã‚ん，ä¼æ¥å†…ã®ã‚·ã‚¹ãƒ†ãƒ ã«ã‚¢ã‚¯ã‚»ã‚¹ã™ã‚‹ãŸã‚ã®ãƒ‘スワードや，パソコンã«èªã¿è¾¼ã‚“ã 機密文書データãªã©ï¼Œå¯¾è±¡ã¯ã‚ã‚‰ã‚†ã‚‹æƒ…å ±ã 。 2006å¹´12月末，米国ã®ã‚»ã‚ュリテ
1
ランã‚ング
ãŠçŸ¥ã‚‰ã›
ランã‚ング
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
{{#tags}}- {{label}}
{{/tags}}