UTF-7 を使ã£ã¦ã‚¹ã‚¯ãƒªãƒ—トを記述 +ADw-SCRIPT+AD4-alert(\'XSS\');+ADw-+AC8-SCRIPT+AD4- IE ã¯ã€æ–‡å—エンコーディングãŒä¸æ˜Žã§ UTF-7 ã£ã½ã„æ–‡å—列ãŒã‚ã‚Œã°ã€è‡ªå‹•åˆ¤åˆ¥ã§ UTF-7 ã¨ãªã‚‹ã€‚
ãã‚Œ Unicode ã§
UTF-7 を使ã£ã¦ã‚¹ã‚¯ãƒªãƒ—トを記述 +ADw-SCRIPT+AD4-alert(\'XSS\');+ADw-+AC8-SCRIPT+AD4- IE ã¯ã€æ–‡å—エンコーディングãŒä¸æ˜Žã§ UTF-7 ã£ã½ã„æ–‡å—列ãŒã‚ã‚Œã°ã€è‡ªå‹•åˆ¤åˆ¥ã§ UTF-7 ã¨ãªã‚‹ã€‚
「XSS脆弱性ã¯å±é™ºï¼ŒCookieã‚’ç›—ã¾ã‚Œã‚‹ã ã‘ã§ã¯æ¸ˆã¾ãªã„ã€å°‚門家ãŒæ³¨æ„å–šèµ·
「クãƒã‚¹ã‚µã‚¤ãƒˆãƒ»ã‚¹ã‚¯ãƒªãƒ—ティング（XSS）脆弱性を悪用ã•ã‚ŒãŸå ´åˆã®è¢«å®³ä¾‹ã¨ã—ã¦ã¯ã€ŽCookieã‚’ç›—ã¾ã‚Œã‚‹ã€ã“ã¨ãŒã‚ˆã挙ã’られる。ã—ã‹ã—，実際ã«ã¯ã‚‚ã£ã¨æ·±åˆ»ãªè¢«å®³ã‚’å—ã‘ã‚‹æã‚ŒãŒã‚る。管ç†è€…や開発者ã¯ãã®å±é™ºæ€§ã‚’å分ã«èªè˜ã—ã¦ï¼Œå¯¾ç–ã‚’æ–½ã™å¿…è¦ãŒã‚ã‚‹ã€â€•â€•ã€‚京セラコミュニケーションシステムã®ã‚»ã‚ュリティ事æ¥éƒ¨ 副事æ¥éƒ¨é•·ã§ã‚る徳丸浩æ°ã¯11月10日，ITproã®å–æã«å¯¾ã—ã¦ï¼ŒXSS脆弱性ã®è„…å¨ã‚’強調ã—ãŸã€‚ ã•ã¾ã–ã¾ãªWebサイト（Webアプリケーション）ã«ãŠã„ã¦ï¼ŒXSS脆弱性ãŒç›¸æ¬¡ã„ã§è¦‹ã¤ã‹ã£ã¦ã„る。ãã®èƒŒæ™¯ã«ã¯ï¼Œé–‹ç™ºè€…ãªã©ã®èªè˜ä¸è¶³ãŒã‚ã‚‹ã¨å¾³ä¸¸æ°ã¯æŒ‡æ‘˜ã™ã‚‹ã€‚「é©åˆ‡ã«å¯¾ç–ã‚’æ–½ã™ã«ã¯ï¼ŒXSS脆弱性ã®ãƒªã‚¹ã‚¯ã‚’把æ¡ã™ã‚‹å¿…è¦ãŒã‚ã‚‹ã€ï¼ˆå¾³ä¸¸æ°ï¼‰ã€‚ã—ã‹ã—ãªãŒã‚‰ï¼Œå®Ÿéš›ã«ã¯ï¼ŒXSS脆弱性ã®ãƒªã‚¹ã‚¯ã‚’éŽå°è©•ä¾¡ã—ã¦ã„るケースãŒå°‘ãªããªã„ã¨ã„ã†ã€‚ 例ãˆã°ï¼Œã€Œï¼ˆè‡ªåˆ†ãŸã¡ãŒé‹å–¶ã—ã¦ã„る）æºå¸¯é›»è©±å‘ã‘サイトã§ã¯ï¼ˆæºå¸¯é›»è©±ä¸Šã§
WebAppSec - WebAppSec Wiki - XSSã®å®Ÿä¾‹
data スã‚ーマを使ã£ãŸã‚¹ã‚¯ãƒªãƒ—トã®å®Ÿè¡Œ †data スã‚ーマã¯ã€ç”»åƒã‚„IFRAMEãªã©ã®ãƒ‡ãƒ¼ã‚¿ã‚’HTMLä¸ã«åŸ‹ã‚込んã§ä½¿ç”¨ã™ã‚‹ãŸã‚ã®æ–¹æ³•ã§ã€RFC2397ã§å®šç¾©ã•ã‚Œã¦ã„ã¾ã™ã€‚複数ã®Webメールã«ã¦ã“れを使用ã—ã¦ã‚¹ã‚¯ãƒªãƒ—トã®å®Ÿè¡ŒãŒå¯èƒ½ãªè„†å¼±æ€§ãŒã‚ã‚Šã¾ã—ãŸã€‚ <iframe src='data:text/html;base64,PHNjcmlwdD5hbGVydCgiZGF0YToiK2RvY3VtZW50LmNvb2tpZSk7PC9zY3JpcHQ+'></iframe> <img src='data:text/html;base64,PHNjcmlwdD5hbGVydCgiZGF0YToiK2RvY3VtZW50LmNvb2tpZSk7PC9zY3JpcHQ+'> 多ãã®Webアプリケーションã§ã¯ã€http ã‚‚ã—ã㯠https スã‚ーマã®URIã®ã¿ã‚’入力値ã¨ã—ã¦è¨±å¯ã™ã‚Œã°å分ã ã¨
XSS - 表示系パラメータã«å˜åœ¨ã™ã‚‹ç›²ç‚¹ :: ã¼ãã¯ã¾ã¡ã¡ã‚ƒã‚“ï¼
ã“ã‚“ã«ã¡ã¯ã“ã‚“ã«ã¡ã¯ï¼ï¼ クãƒã‚¹ã‚µã‚¤ãƒˆã‚¹ã‚¯ãƒªãƒ—ティングã®æ™‚é–“ã§ã™ï¼ XSSã¨ã„ã†ã¨â€¦ï¼ ã¾ã£ã•ãã«æ€ã„ã¤ãã®ãŒã€å…¥åŠ›ãƒ‡ãƒ¼ã‚¿é€ä¿¡ → 確èªè¡¨ç¤ºã®éƒ¨åˆ†ã§ã®ç„¡å®³åŒ–æ¼ã‚Œã§ã™ã‚ˆãï¼ ãŸã¨ãˆã°ã“ã‚“ãªæ„Ÿã˜ã®ãƒ•ã‚©ãƒ¼ãƒ ã‹ã‚‰å—ã‘å–ã£ãŸãƒ‘ラメータを〠確èªã¨ã—ã¦è¡¨ç¤ºã™ã‚‹ãƒšãƒ¼ã‚¸ã¨ã‹ï¼ (入力) <form action="register.cgi" method="post"> タイトル：<input type="text" name="title"> ↠「ã¼ãã¯ã¾ã¡ã¡ã‚ƒã‚“ï¼ã€ã‚’入力 本文：<input type="text" name="body"> ↠「ã“ã‚“ã«ã¡ã¯ã“ã‚“ã«ã¡ã¯ï¼ï¼<script>alert(1)</script>ã€ã‚’入力 </form> (確èª) <p>ã“ã®å†…容ã§ç™»éŒ²ã—ã¦ã„ã„？</p> <p> タイトル： ã¼ãã¯ã¾ã¡ã¡ã‚ƒã‚“ï¼<br> 本文： ã“ã‚“ã«ã¡ã¯ã“ã‚“ã«ã¡ã¯ï¼ï¼<script>alert
1
ランã‚ング
ランã‚ング
ランã‚ング
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
{{#tags}}- {{label}}
{{/tags}}