ã¯ã¦ãªãƒ–ãƒã‚°ã®ãƒ˜ãƒ«ãƒ—ã§ã™
ã¯ã¦ãªãƒ€ã‚¤ã‚¢ãƒªãƒ¼ã®ãƒ˜ãƒ«ãƒ— - ã¯ã¦ãªãƒ€ã‚¤ã‚¢ãƒªãƒ¼XSS対ç–
ã¯ã¦ãªãƒ–ãƒã‚°ã®ãƒ˜ãƒ«ãƒ—ã§ã™
PHPã®ã‚¤ã‚¿ã„入門書をèªã‚“ã§Ajaxã®XSSã«ã¤ã„ã¦æ¤œè¨Žã—ãŸ(1) - ockeghem's blog
ã“ã®ã‚¨ãƒ³ãƒˆãƒªã§ã¯ã€ã‚ã‚‹PHPã®å…¥é–€æ›¸ã‚’é¡Œæã¨ã—ã¦ã€Ajaxアプリケーションã®è„†å¼±æ€§ã«ã¤ã„ã¦æ¤œè¨Žã—ã¾ã™ã€‚å…¨3回ã¨ãªã‚‹äºˆå®šã§ã™ã€‚ ã“ã®ã‚¨ãƒ³ãƒˆãƒªã‚’書ã„ãŸãã£ã‹ã‘ twitterã‹ã‚‰ã‚¿ãƒ¬ã‚³ãƒŸã‚’ã¡ã‚‡ã†ã ã„ã—ã¦ã€ä½œã‚ŠãªãŒã‚‰åŸºç¤Žã‹ã‚‰å¦ã¶PHPã«ã‚ˆã‚‹Webアプリケーション入門XAMPP/jQuery/HTML5ã§ä½œã‚‹ã‚¤ãƒžãƒ‰ã‚ã®Weã¨ã„ã†æœ¬ã‚’èªã¿ã¾ã—ãŸã€‚所感ã¯ä»¥ä¸‹ã®é€šã‚Šã§ã™ã€‚ タレコミæ°ã®ä¸»å¼µã®ã‚ˆã†ã«ã€æœ¬æ›¸ã¯ã‚»ã‚ュリティを一切考慮ã—ã¦ã„ãªã„ 主ãªè„†å¼±æ€§ã¯ã€XSSã€SQLインジェクションã€ä»»æ„ã®ã‚µãƒ¼ãƒãƒ¼ã‚µã‚¤ãƒ‰ãƒ»ã‚¹ã‚¯ãƒªãƒ—ト実行（アップãƒãƒ¼ãƒ‰çµŒç”±ï¼‰ã€ãƒ¡ãƒ¼ãƒ«ãƒ˜ãƒƒãƒ€ã‚¤ãƒ³ã‚¸ã‚§ã‚¯ã‚·ãƒ§ãƒ³ç‰ 脆弱性以å‰ã®å•é¡Œã¨ã—ã¦ã‚µãƒ³ãƒ—ルスクリプトã®å“質ãŒä½Žã„。デãƒãƒƒã‚°ã—ãªã„ã¨å‹•ã‹ãªã„スクリプトãŒå¤šæ•°ã‚ã£ãŸ 上記ã«é–¢é€£ã—ã¦ã€æµç”¨å…ƒã®ã‚½ãƒ¼ã‚¹ã‚„デãƒãƒƒã‚°ç”¨ã®alertãªã©ãŒã‚³ãƒ¡ãƒ³ãƒˆã¨ã—ã¦æ®‹ã£ã¦ã„ã¦ç—›ã€…ã—ㄠ今時ã“ã®æ°´æº–ã¯ãªã„ã‚ーã¨æ€ã„ã¾ã—ãŸã€‚以å‰
ã¯ã¦ãªã‚°ãƒ«ãƒ¼ãƒ—ã®çµ‚了日を2020å¹´1月31æ—¥(金)ã«æ±ºå®šã—ã¾ã—㟠- ã¯ã¦ãªã®å‘ŠçŸ¥
ã¯ã¦ãªã‚°ãƒ«ãƒ¼ãƒ—ã®çµ‚了日を2020å¹´1月31æ—¥(金)ã«æ±ºå®šã—ã¾ã—㟠以下ã®ã‚¨ãƒ³ãƒˆãƒªã®é€šã‚Šã€ä»Šå¹´æœ«ã‚’目処ã«ã¯ã¦ãªã‚°ãƒ«ãƒ¼ãƒ—を終了予定ã§ã‚る旨をãŠçŸ¥ã‚‰ã›ã—ã¦ãŠã‚Šã¾ã—ãŸã€‚ 2019年末を目処ã«ã€ã¯ã¦ãªã‚°ãƒ«ãƒ¼ãƒ—ã®æ供を終了ã™ã‚‹äºˆå®šã§ã™ - ã¯ã¦ãªã‚°ãƒ«ãƒ¼ãƒ—日記 ã“ã®ãŸã³ã€æ£å¼ã«çµ‚了日を決定ã„ãŸã—ã¾ã—ãŸã®ã§ã€ä»¥ä¸‹ã®é€šã‚Šã”確èªãã ã•ã„。 終了日: 2020å¹´1月31æ—¥(金) エクスãƒãƒ¼ãƒˆå¸Œæœ›ç”³è«‹æœŸé™:2020å¹´1月31æ—¥(金) 終了日以é™ã¯ã€ã¯ã¦ãªã‚°ãƒ«ãƒ¼ãƒ—ã®é–²è¦§ãŠã‚ˆã³æŠ•ç¨¿ã¯è¡Œãˆã¾ã›ã‚“。日記ã®ã‚¨ã‚¯ã‚¹ãƒãƒ¼ãƒˆãŒå¿…è¦ãªæ–¹ã¯ä»¥ä¸‹ã®è¨˜äº‹ã«ã—ãŸãŒã£ã¦æ‰‹ç¶šãã‚’ã—ã¦ãã ã•ã„。 ã¯ã¦ãªã‚°ãƒ«ãƒ¼ãƒ—ã«æŠ•ç¨¿ã•ã‚ŒãŸæ—¥è¨˜ãƒ‡ãƒ¼ã‚¿ã®ã‚¨ã‚¯ã‚¹ãƒãƒ¼ãƒˆã«ã¤ã„㦠- ã¯ã¦ãªã‚°ãƒ«ãƒ¼ãƒ—日記 ã”利用ã®ã¿ãªã•ã¾ã«ã¯ã”迷惑をãŠã‹ã‘ã„ãŸã—ã¾ã™ãŒã€ã©ã†ãžã‚ˆã‚ã—ããŠé¡˜ã„ã„ãŸã—ã¾ã™ã€‚ 2020-06-25 追記 ã¯ã¦ãªã‚°ãƒ«ãƒ¼ãƒ—日記ã®ã‚¨ã‚¯ã‚¹ãƒãƒ¼ãƒˆãƒ‡ãƒ¼ã‚¿ã¯2020å¹´2月28
X-Content-Type-Options: nosniff ã¤ã‹ã‚ãªã„ã‚„ã¤ã¯æ»ãã°ã„ã„ã®ã«! - 葉ã£ã±æ—¥è¨˜
2011-01-06: IE8ã¨ã„ã†ã“ã¨ã‚’追記 & ã¡ã‚‡ã£ã¨é–“é•ã„ã‚’ä¿®æ£ã€‚ã‚ã‘ã¾ã—ã¦ãŠã‚ã§ã¨ã†ã”ã–ã„ã¾ã™ã€‚ 年明ã‘早々ã§ã™ãŒã€Internet Explorerã®è©±é¡Œã§ã™ã€‚IEã¯ã”å˜ã˜ã®é€šã‚Šã€Content-Type ã ã‘ã§ãªãコンテンツã®å†…容ãªã©ã‚‚ sniff ã™ã‚‹ã“ã¨ã§ãƒ•ã‚¡ã‚¤ãƒ«ã‚¿ã‚¤ãƒ—を決定ã—ã¦ã„ã‚‹ãŸã‚ã€ç”»åƒãƒ•ã‚¡ã‚¤ãƒ«ã‚„テã‚ストファイルをHTMLã¨åˆ¤å®šã—ã¦ã—ã¾ã„ã€ã‚¯ãƒã‚¹ã‚µã‚¤ãƒˆã‚¹ã‚¯ãƒªãƒ—ティングãŒç™ºç”Ÿã™ã‚‹ã“ã¨ãŒæ˜”ã‹ã‚‰ãŸã³ãŸã³å ±å‘Šã•ã‚Œã¦ã„ã¾ã—ãŸ*1。ç¾åœ¨ã¯å¹¾åˆ†ãƒžã‚·ã«ãªã£ãŸã¨ã¯ã„ãˆã€IEã®ãƒ•ã‚¡ã‚¤ãƒ«ã‚¿ã‚¤ãƒ—ã®åˆ¤å®šã‚¢ãƒ«ã‚´ãƒªã‚ºãƒ ã¯éžå¸¸ã«é›£è§£ã§ã‚ã‚Šã€ç¾åœ¨ã§ã‚‚状æ³ã«ã‚ˆã£ã¦ã¯Webサイトé‹å–¶è€…ã®ã¾ã£ãŸãæ„図ã—ã¦ã„ãªã„ã‹ãŸã¡ã§ã®XSSãŒç™ºç”Ÿã™ã‚‹å¯èƒ½æ€§ãŒã‚ã£ãŸã‚Šã—ã¾ã™ã€‚ãã†ã„ã†ã‚ã‘ã§ã€IEãŒã‚³ãƒ³ãƒ†ãƒ³ãƒ„ã‚’ sniff ã—ã¦HTML以外ã®ã‚‚ã®ã‚’HTML扱ã„ã—ã¦ã—ã¾ã†ã“ã¨ã‚’防ããŸã‚ã«ã€å‹•çš„ã«ã‚³ãƒ³ãƒ†ãƒ³ãƒ„を生æˆã—ã¦ã„ã‚‹å ´åˆã«
XSSを回é¿ã—ã¤ã¤ã€ãƒ†ãƒ³ãƒ—レートã‹ã‚‰JavaScriptã«JSONã§å€¤ã‚’渡ã™æ–¹æ³• - blog.nomadscafe.jp
「HTMLã®scriptタグ内ã«ãƒ‡ãƒ¼ã‚¿ã‚’埋ã‚込む際ã®ã‚¨ã‚¹ã‚±ãƒ¼ãƒ—処ç†ãƒ¢ã‚¸ãƒ¥ãƒ¼ãƒ«æ›¸ã„ãŸã€ã«å¼•ã続ã„ã¦ã€XSSã‚’é¿ã‘ã¤ã¤è¤‡æ•°ã®å€¤ã‚’JSONã§æ¸¡ã™æ–¹æ³•ã€‚ ç”ãˆã¯malaã•ã‚“ãŒæ›¸ã„ã¦ã¾ã™ テンプレートエンジンã§JSONを生æˆã™ã‚‹(多ãã®å ´åˆé–“é•ãˆã‚‹ã®ã§ã€æŽ¨å¥¨ã—ãªã„) scriptã‚¿ã‚°ã®ä¸ã§JSONを使ã‚ãªã„ å¯èƒ½ã§ã‚ã‚Œã°JSONライブラリã®ã‚ªãƒ—ションã§<>/ã„ãšã‚Œã‹ã‚’エスケープã™ã‚‹ã€‚ 生æˆã•ã‚ŒãŸJSONæ–‡å—列ã®<>/ã„ãšã‚Œã‹ã‚’æ£è¦è¡¨ç¾ãªã©ã‚’使ã£ã¦ç½®æ›ã™ã‚‹ã€‚ JSONã®valueã«å½“ãŸã‚‹éƒ¨åˆ†ã«ã¯ã€ŒHTMLエスケープ済ã¿ã®æ–‡å—列を入れるã€ã¨ã„ã†è¦ç´„ã‚’è¨ã‘ã¦äº‹å‰ã«ã‚¨ã‚¹ã‚±ãƒ¼ãƒ—ã™ã‚‹ã€‚ ã®3番目以é™ã€‚ ã¨ã„ã†ã“ã¨ã§å®Ÿè£…ã—ã¦ã¿ã‚‹ã€‚目標ã¨ã—ã¦ã¯Xslateã®filterã¨ã—ã¦å®Ÿè£… [% hashref | json %] ã®æ§˜ãªå½¢ã‚’ã¨ã‚Šã€JSONã®valueã«ã‚ãŸã‚‹éƒ¨åˆ†ã¯ã™ã¹ã¦HTML Escapeã—ã€HTMLä¸ã«
［気ã«ãªã‚‹ï¼½JSONPã®å®ˆã‚Šæ–¹
XSSã«CSRFã«SQLインジェクションã«ãƒ‡ã‚£ãƒ¬ã‚¯ãƒˆãƒªãƒˆãƒ©ãƒãƒ¼ã‚µãƒ«â€¦â€¦Webアプリケーションã®ãƒ—ãƒã‚°ãƒ©ãƒžãŒçŸ¥ã£ã¦ãŠãã¹ã脆弱性ã¯ã„ã£ã±ã„ã‚ã‚Šã¾ã™ã€‚ãã“ã§æœ¬é€£è¼‰ã§ã¯ã€ãã®ã‚ˆã†ãªãƒ¡ã‚¸ãƒ£ãƒ¼ãªã‚‚ã®â€œä»¥å¤–â€ã‚‚掘り下ã’ã¦ã„ãã¾ã™ （編集部） JSONPã ã£ã¦ã€ã‚»ã‚ュリティを気ã«ã—ã¦ã»ã—ㄠ皆ã•ã‚“ã“ã‚“ã«ã¡ã¯ã€ã¯ã›ãŒã‚よã†ã™ã‘ã§ã™ã€‚今回ã¯ã€JSONPを使用ã™ã‚‹å ´åˆã®ã‚»ã‚ュリティã«ã¤ã„ã¦è§£èª¬ã—ã¾ã—ょã†ã€‚ JSONPã¨ã¯ã€JSON with Paddingã®å称ãŒç¤ºã—ã¦ã„ã‚‹ã¨ãŠã‚Šã€JSONå½¢å¼ã®ãƒ‡ãƒ¼ã‚¿ã«ã‚³ãƒ¼ãƒ«ãƒãƒƒã‚¯é–¢æ•°ã®å‘¼ã³å‡ºã—ã®ãŸã‚ã®ã‚³ãƒ¼ãƒ‰ã‚’ä»˜åŠ ã™ã‚‹ã“ã¨ã§ã€ã‚¯ãƒã‚¹ãƒ‰ãƒ¡ã‚¤ãƒ³ã§ãƒ‡ãƒ¼ã‚¿ã®å—ã‘渡ã—を実ç¾ã™ã‚‹ãŸã‚ã®ãƒ‡ãƒ¼ã‚¿å½¢å¼ã§ã™ã€‚JavaScriptã‹ã‚‰ã‚¯ãƒã‚¹ãƒ‰ãƒ¡ã‚¤ãƒ³ã§ã®ãƒ‡ãƒ¼ã‚¿ãŒç°¡å˜ã«æ‰±ãˆã‚‹ã“ã¨ãªã©ã‚’ç†ç”±ã«ã€å¤šæ•°ã®Webアプリケーションã§APIã®ä¸€éƒ¨ã¨ã—ã¦JSONPå½¢å¼ã§ãƒ‡ãƒ¼ã‚¿ã®æä¾›ãŒè¡Œã‚ã‚Œã¦ã„ã¾ã™ã€‚ 具体的ãªä¾‹ã‚’見
第7回■文å—エンコーディングãŒç”Ÿã¿å‡ºã™ãœã„弱性を知る
æ–‡å—コードã«é–¢ã™ã‚‹å•é¡Œã¯å¤§åˆ¥ã™ã‚‹ã¨æ–‡å—集åˆã®å•é¡Œã¨æ–‡å—エンコーディングã®å•é¡Œã«åˆ†é¡žã§ãる。å‰å›žã¯æ–‡å—集åˆã®å–り扱ã„ã«èµ·å› ã™ã‚‹ãœã„弱性ã«ã¤ã„ã¦èª¬æ˜Žã—ãŸã®ã§ã€ä»Šå›žã¯æ–‡å—エンコーディングã«èµ·å› ã™ã‚‹ãœã„弱性ã«ã¤ã„ã¦èª¬æ˜Žã—よã†ã€‚ æ–‡å—エンコーディングã«ä¾å˜ã™ã‚‹å•é¡Œã‚’ã•ã‚‰ã«åˆ†é¡žã™ã‚‹ã¨2種類ã‚る。（1）文å—エンコーディングã¨ã—ã¦ä¸æ£ãªãƒ‡ãƒ¼ã‚¿ã‚’用ã„ã‚‹ã¨æ”»æ’ƒãŒæˆç«‹ã—ã¦ã—ã¾ã†ç‚¹ã¨ï¼Œï¼ˆ2）文å—エンコーディングã®å‡¦ç†ãŒä¸å分ãªãŸã‚ã«ãœã„弱性ãŒç”Ÿã˜ã‚‹ã“ã¨ãŒã‚る点ã 。 ä¸æ£ãªæ–‡å—エンコーディング（1）――冗長ãªUTF-8符å·åŒ–å•é¡Œ ã¾ãšï¼Œï¼ˆ1）ã®ä¸æ£ãªæ–‡å—エンコーディングã®ä»£è¡¨ã¨ã—ã¦ï¼Œå†—é•·ãªUTF-8符å·åŒ–å•é¡Œã‹ã‚‰èª¬æ˜Žã—よã†ã€‚å‰ã€…回ã«è§£èª¬ã—ãŸUTF-8ã®ãƒ“ット・パターン（表1ã«å†æŽ²ï¼‰ã‚’見るã¨ï¼Œã‚³ãƒ¼ãƒ‰ãƒ»ãƒã‚¤ãƒ³ãƒˆã®ç¯„囲ã”ã¨ã«ãƒ“ット・パターンãŒå‰²ã‚Šå½“ã¦ã‚‰ã‚Œã¦ã„ã‚‹ãŒï¼Œãƒ“ット・パターン上ã¯ï¼Œã‚ˆã‚Šå¤šãã®ãƒã‚¤ãƒˆæ•°ã‚’使ã£ã¦ã‚‚åŒã˜ã‚³ãƒ¼
XSSã¯ãã®ã‚µã‚¤ãƒˆã‚’ä¿¡é ¼ã—ã¦ã„る人ãŒå¤šã„ã»ã©è„…å¨ã«ãªã‚Šã†ã‚‹ - ã¼ãã¯ã¾ã¡ã¡ã‚ƒã‚“ï¼(Hatena)
ã¯ã„ï¼ ã“ã‚“ã«ã¡ã¯ï¼ 今日ã¯çã—ãã‚»ã‚ュリティã«ã¤ã„ã¦ä¸€è¨€ã§ã™ï¼ タイトルã«ã‚る通り〠XSSã¯ãã®ã‚µã‚¤ãƒˆã‚’ä¿¡é ¼ã—ã¦ã„る人ãŒå¤šã„ã»ã©è„…å¨ã«ãªã‚Šã†ã‚‹ ã£ã¦ã“ã¨ãªã‚“ã ã‘ã©â€¦ã€‚ã“ã‚Œã ã‘ã ã¨ã€ã‚ãŸã‚Šã¾ãˆã£ã½ã„よã。 ã¾ãšXSS脆弱性ã£ã¦ãªã«ï¼Ÿ ã£ã¦äººã®ãŸã‚ã«ç°¡å˜ã«èª¬æ˜Žã—ã¡ã‚ƒã†ã¨ã€ã“ã‚Œ サイトを作ã£ãŸäººä»¥å¤–ã®äººã§ã‚‚ã€å¥½ããªã‚¹ã‚¯ãƒªãƒ—トを実行ã§ãã¡ã‚ƒã†çŠ¶æ…‹ ã£ã¦ã“ã¨ãªã‚“ã よã。 ã§ã‚‚よã考ãˆã¦ã¿ã¦ã»ã—ã„。 スクリプトãŒå®Ÿè¡Œã§ãる。ã¸ã‚“ãªã‚¹ã‚¯ãƒªãƒ—トãŒå®Ÿè¡Œã•ã‚Œã¡ã‚ƒã†ã‹ã‚‚ã—ã‚Œãªã„ページ。 ã“ã‚Œã£ã¦åˆ¥ã«ã€ã€Œãµã¤ã†ã«ã‚¹ã‚¯ãƒªãƒ—トを許å¯ã•ã‚Œã¦ã„ã‚‹ã€ãã“らã¸ã‚“ã®ãƒ–ãƒã‚°ã‚„ホームページã¨åŒã˜ã€ã˜ã‚ƒãªã„？ ã„ã‚„ã€å¾®å¦™ã«é•ã†ã‹ãªã€‚ é•ã†ç‚¹ã¯ã²ã¨ã¤ã€‚ スクリプトを埋ã‚è¾¼ã‚ã‚‹ã®ãŒã€Œã‚µã‚¤ãƒˆã®ç®¡ç†è€…オンリーã€ãªã®ã‹ã€Œèª°ã§ã‚‚ã€ãªã®ã‹ã®é•ã„ãŒã‚ã‚‹ã‚“ã よã。 … ã˜ã‚ƒã‚ã€ã€Œåã‚‚ãªãサイトã®ç®¡ç†è€…ã€ã¨ã€Œèª°ã§ã‚‚ã€ã®é•ã„ã£ã¦ãªã‚“ã ã‚ã†ï¼Ÿ ãªã‚“ã ã‚
1
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
IBM Developer
{{#tags}}- {{label}}
{{/tags}}