XSSを回é¿ã—ã¤ã¤ã€ãƒ†ãƒ³ãƒ—レートã‹ã‚‰JavaScriptã«JSONã§å€¤ã‚’渡ã™æ–¹æ³• - blog.nomadscafe.jp「HTMLã®scriptタグ内ã«ãƒ‡ãƒ¼ã‚¿ã‚’埋ã‚込む際ã®ã‚¨ã‚¹ã‚±ãƒ¼ãƒ—処ç†ãƒ¢ã‚¸ãƒ¥ãƒ¼ãƒ«æ›¸ã„ãŸã€ã«å¼•ã続ã„ã¦ã€XSSã‚’é¿ã‘ã¤ã¤è¤‡æ•°ã®å€¤ã‚’JSONã§æ¸¡ã™æ–¹æ³•ã€‚ ç”ãˆã¯malaã•ã‚“ãŒæ›¸ã„ã¦ã¾ã™ テンプレートエンジンã§JSONを生æˆã™ã‚‹(多ãã®å ´åˆé–“é•ãˆã‚‹ã®ã§ã€æŽ¨å¥¨ã—ãªã„) scriptã‚¿ã‚°ã®ä¸ã§JSONを使ã‚ãªã„ å¯èƒ½ã§ã‚ã‚Œã°JSONライブラリã®ã‚ªãƒ—ションã§<>/ã„ãšã‚Œã‹ã‚’エスケープã™ã‚‹ã€‚ 生æˆã•ã‚ŒãŸJSONæ–‡å—列ã®<>/ã„ãšã‚Œã‹ã‚’æ£è¦è¡¨ç¾ãªã©ã‚’使ã£ã¦ç½®æ›ã™ã‚‹ã€‚ JSONã®valueã«å½“ãŸã‚‹éƒ¨åˆ†ã«ã¯ã€ŒHTMLエスケープ済ã¿ã®æ–‡å—列を入れるã€ã¨ã„ã†è¦ç´„ã‚’è¨ã‘ã¦äº‹å‰ã«ã‚¨ã‚¹ã‚±ãƒ¼ãƒ—ã™ã‚‹ã€‚ ã®3番目以é™ã€‚ ã¨ã„ã†ã“ã¨ã§å®Ÿè£…ã—ã¦ã¿ã‚‹ã€‚目標ã¨ã—ã¦ã¯Xslateã®filterã¨ã—ã¦å®Ÿè£… [% hashref | json %] ã®æ§˜ãªå½¢ã‚’ã¨ã‚Šã€JSONã®valueã«ã‚ãŸã‚‹éƒ¨åˆ†ã¯ã™ã¹ã¦HTML Escapeã—ã€HTMLä¸ã«
PHPコードã®XSSã‚„SQLインジェクション脆弱性をãƒã‚§ãƒƒã‚¯ã™ã‚‹ã€ŒPixyã€:phpspot開発日誌
Loading...
{{#tags}}- {{label}}
{{/tags}}