JavaScript:element.setAttributeã—ãŸã¨ãã®ã€HTMLã¯ã©ã†ãªã£ã¦ã„ã‚‹ã‹ï¼Ÿ
実験用コード： <form onsubmit="return false;"> <b>input_text:</b><br /> <textarea id="input-text" rows="4" cols="80"> ">Hello!</textarea><br /> 例）">Hello!<br /> <input type="button" value="実行" onclick="runTest_setAttribute_outerHTML();" /><br /> </form> <br /> <b>element.setAttribute("title", input_text)ã®outerHTML：</b><br /> <textarea id="output-html" rows="4" cols="80"> ã“ã“ã«ãƒ‡ãƒ¼ã‚¿å‡ºåŠ› </textarea><br
JavaScript:document.createTextNodeã‚’appendChildã—ãŸã¨ãã®ã€HTMLã¯ã©ã†ãªã£ã¦ã„ã‚‹ã‹ï¼Ÿ
JavaScript:document.createTextNodeã‚’appendChildã—ãŸã¨ãã®ã€HTMLã¯ã©ã†ãªã£ã¦ã„ã‚‹ã‹ï¼Ÿ イントãƒãƒ€ã‚¯ã‚·ãƒ§ãƒ³ JavaScript ã«ã¦ã€ã€ŒDOM Based XSSã€ã®è„†å¼±æ€§ã‚’埋ã‚込むã®ã‚’防ããŸã‚ã«ã¯ã€document.write ã‚„ element.innerHTML ãªã©ã‚’使ã†ã®ã§ã¯ãªãã€ä»¥ä¸‹ã®ã‚ˆã†ã« DOM æ“作用メソッドを使用ã™ã‚‹ã¨è‰¯ã„ã¨ã•ã‚Œã¦ã„ã¾ã™ã€‚ 入力ã•ã‚ŒãŸãƒ†ã‚ストをブラウザã®ãƒ‰ã‚ュメントã«è¡¨ç¤ºï¼š element.appendChild(document.createTextNode(input_text)); input_text : 入力ã•ã‚ŒãŸãƒ†ã‚スト element : テã‚ã‚¹ãƒˆã‚’è¿½åŠ ã™ã‚‹è¦ªè¦ç´ (element オブジェクト) ã“ã®ã¨ãã€ãƒ†ã‚ã‚¹ãƒˆã‚’è¿½åŠ ã—ãŸè¦ªè¦ç´ ã® HTML ãŒã€å…¥åŠ›ã•ã‚ŒãŸãƒ†ã‚ストã«ã‚ˆã£ã¦ã©ã†ãªã‚‹ã®ã‹æ°—ã«ãªã‚Š
ã‚»ã‚ュリティ対ç–：JavaScriptã§HTMLæ“作をã™ã‚‹äººã¯å¿…èªï¼IPAテクニカルウォッãƒã€€ã€ŽDOM Based XSSã€ã«é–¢ã™ã‚‹ãƒ¬ãƒãƒ¼ãƒˆ
ã‚»ã‚ュリティ対ç–：JavaScriptã§HTMLæ“作をã™ã‚‹äººã¯å¿…èªï¼IPAテクニカルウォッãƒã€€ã€ŽDOM Based XSSã€ã«é–¢ã™ã‚‹ãƒ¬ãƒãƒ¼ãƒˆ イントãƒãƒ€ã‚¯ã‚·ãƒ§ãƒ³ 誰ã§ã‚‚手軽ã«ä½¿ãˆã¦ä¾¿åˆ©ãª JavaScript ã§ã™ãŒã€æ›¸ã方を間é•ãˆã‚‹ã¨é‡å¤§ãªã‚»ã‚ュリティ上ã®å•é¡Œï¼ˆè„†å¼±æ€§ï¼‰ã‚’引ãèµ·ã“ã—ã¦ã—ã¾ã„ã¾ã™ã€‚ ãん㪠JavaScript を使ã£ãŸãƒ—ãƒã‚°ãƒ©ãƒ ã®è„†å¼±æ€§ã®ä¸ã§ã‚‚ã€ã†ã£ã‹ã‚Šä½œã‚Šã“ã‚“ã§ã—ã¾ã„ãŒã¡ãªã®ãŒã€ã€ŒDOM Based XSSã€ã§ã¯ãªã„ã§ã—ょã†ã‹ï¼Ÿ DOM Based XSS ã¯ã€JavaScript を使用ã—ã¦ã€ãƒ–ラウザã§è¡¨ç¤ºã—ã¦ã„ã‚‹ HTML æ§‹é€ ã«æ‰‹ã‚’åŠ ãˆã‚‹ã¨ãã«åŸ‹ã‚込んã§ã—ã¾ã„ãŒã¡ãªè„†å¼±æ€§ã§ã™ã€‚ 例ãˆã°ã€ãƒ–ラウザã§è¡¨ç¤ºã—ã¦ã„ã‚‹ç”»é¢ã‚’ã€document.write ã‚„ element.innerHTML ãªã©ã§æ›¸ãæ›ãˆã¦ã„ã¾ã›ã‚“ã‹ï¼Ÿ （ãれら以外ã«ã‚‚ã€å±é™ºãªãƒ¡ã‚½ãƒƒãƒ‰ãƒ»ãƒ—ãƒãƒ‘ティã¯ã‚ã‚Š
mXSS - Mutation-based Cross-Site-Scripting ã®ã¯ãªã— - 葉ã£ã±æ—¥è¨˜
ã“ã“æ•°å¹´ã€XSSæ¥ç•Œã®æœ€å…ˆç«¯ã§ç››ã‚Šä¸ŠãŒã£ã¦ã„る話題ã¨ã—㦠mXSS ã¨ã„ã†ã‚‚ã®ãŒã‚ã‚Šã¾ã™ã€‚mXSS - Mutation-based XSS ã¨ã¯ã€ä¾‹ãˆã° innerHTML ãªã©ã‚’経由ã—ã¦ã™ã§ã«æ§‹ç¯‰ã•ã‚Œã¦ã„ã‚‹DOMツリーをå‚ç…§ã—ãŸã¨ãã«ã€æœ¬æ¥ã®DOMæ§‹é€ ã¨ã¯ç•°ãªã‚‹çµæžœã‚’å¾—ã¦ã—ã¾ã„ã€ãã®ãŸã‚ã«HTMLæ§‹é€ ã®ç ´å£Šã‚’引ãèµ·ã“ã™ã¨ã„ã†é¡žã®DOM based XSSã®äºœç¨®ã¨ã‚‚言ãˆã¾ã™ã€‚ mXSSã«é–¢ã—ã¦ã¯ä»¥ä¸‹ã®è³‡æ–™ãªã©ãŒå‚考ã«ãªã‚Šã¾ã™ã€‚ The innerHTML Apocalypse mXSS Attacks: Attacking well-secured Web-Applications by using innerHTML Mutations ã©ã¡ã‚‰ã®è³‡æ–™ã«ã‚‚掲載ã•ã‚Œã¦ã„ã¾ã™ãŒã€mXSSã®ãã£ã‹ã‘ã¨ãªã£ãŸã®ã¯ 「教科書ã«è¼‰ã‚‰ãªã„Webアプリケーションセã‚ュリティ（1）：［ã“ã‚Œã¯ã²ã©ã„ï¼½IEã®
JavaScriptã§ã‚»ã‚ュアãªã‚³ãƒ¼ãƒ‡ã‚£ãƒ³ã‚°ã‚’ã™ã‚‹ãŸã‚ã«æ°—ã‚’ã¤ã‘ã‚‹ã“ã¨
kintoneã¯JavaScriptを使ã£ã¦è‡ªç”±ã«ã‚«ã‚¹ã‚¿ãƒžã‚¤ã‚ºã§ãã¾ã™ã€‚ カスタマイズã«ã‚ˆã‚Šç‹¬è‡ªã®ãƒªãƒƒãƒãªUIを構築ã—ãŸã‚Šã€æ–°ã—ã„æ©Ÿèƒ½ã‚’è¿½åŠ ã—ãŸã‚Šã§ãã¾ã™ãŒã€ã‚»ã‚ュアãªã‚³ãƒ¼ãƒ‡ã‚£ãƒ³ã‚°ã‚’ã—ãªã„㨠クãƒã‚¹ã‚µã‚¤ãƒˆã‚¹ã‚¯ãƒªãƒ—ティング （以下ã€XSS）ãªã©ã®è„†å¼±æ€§ã‚’作り込んã§ã—ã¾ã†å±é™ºæ€§ãŒã‚ã‚Šã¾ã™ã€‚ ã“ã®è¨˜äº‹ã§ã¯ã€JavaScriptã§ã‚»ã‚ュアãªã‚³ãƒ¼ãƒ‡ã‚£ãƒ³ã‚°ã‚’ã™ã‚‹ãŸã‚ã®åŸºæœ¬çš„ãªãƒã‚¤ãƒ³ãƒˆã‚’解説ã—ã¾ã™ã€‚
脆弱性"&'\ Advent Calendar 2014 (17日目) - 葉ã£ã±æ—¥è¨˜
ã“ã®è¨˜äº‹ã¯è„†å¼±æ€§"&'<<>\ Advent Calendar 2014ã®17日目ã®è¨˜äº‹ã§ã™ã€‚今日ã¯å°‘ã—昔話をã—よã†ã¨æ€ã„ã¾ã™ã€‚ãŒã¯ã¯ã€‚ ã‹ã¤ã¦ã€æ—¥æœ¬è£½Twitterã®ã‚ˆã†ãªWassrã¨ã„ã†ã‚µãƒ¼ãƒ“スãŒã‚ã‚Šã¾ã—ãŸã€‚当時ã€Twitterã¯æ•°æ—¥ã«ä¸€åº¦ãらã„ã¯ã‚µãƒ¼ãƒ“スãŒè½ã¡ã¦ã„ã¦ã€Twitterユーザーも「ã¾ãŸã‹ã€ã¨æ€ã„ãªãŒã‚‰æˆ‘æ…¢ã—ã¦ä½¿ã†ã‚ˆã†ãªã‚µãƒ¼ãƒ“スã§ã‚ã‚Šã€TwitterãŒè½ã¡ã‚‹ãŸã³ã«Wassrã¯ãƒ¦ãƒ¼ã‚¶ãƒ¼ã‚’増やã™ã¨ã¨ã‚‚ã«ã€ç”»åƒã®æ·»ä»˜ã®ã‚ˆã†ã«å½“時Twitterã«ã¯ã¾ã ãªã‹ã£ãŸæ©Ÿèƒ½ã‚’ã©ã‚“ã©ã‚“アグレッシブã«å–り入れã¦ã„ãã€ä½¿ã£ã¦ã„ã¦æ¥½ã—ã„サービスã§ã—ãŸã€‚ ã•ã¦ã€ãã‚“ãªWassrãŒã‚る日絵文å—機能を導入ã—ã¾ã—ãŸã€‚当時ã¯Unicode絵文å—ã‚‚ãªãスマートフォンも普åŠã—ã¦ãŠã‚‰ãšã€ä¸»ã«ãƒ¬ã‚¬ã‚·ãƒ¼ãªæºå¸¯é›»è©±ã§ä½¿ãˆã‚‹çµµæ–‡å—ã‚’ãªã‚“ã¨ã‹Web上ã§ã‚‚使ãˆã‚‹ã‚ˆã†ã«ã—ãŸã¨ã„ã†æ„Ÿã˜ã®ã‚‚ã®ã§ã—ãŸã€‚ 絵文å—をパレットã‹ã‚‰é¸æŠžã™ã‚‹ã¨
知ã£ã¦ã¾ã—ãŸã‹ï¼Ÿ ã‚»ã‚ュリティæ¥ç•ŒãŒæ´å²ã«å¦ã¹ã‚‹ã“ã¨
VAWTRAKã®æ”»æ’ƒã‚¹ã‚¯ãƒªãƒ—トã¯ã€Œãã‚Œã„ãªã‚³ãƒ¼ãƒ‰ã€ 「VAWTRAK観察日誌ã€ã¨é¡Œã™ã‚‹ã‚»ãƒƒã‚·ãƒ§ãƒ³ã§ã¯ã€ã‚»ã‚ュアブレインã®ãƒ‹ã‚·ãƒ€ãƒžã‚µã‚¿æ°ãŒã€2014å¹´5月以é™ã«å›½å†…ã§çŒ›å¨ã‚’振るã£ãŸã‚ªãƒ³ãƒ©ã‚¤ãƒ³ãƒãƒ³ã‚ングマルウェア「VAWTRAKã€ã®æŒ™å‹•ã‚’解æžã—ãŸçµæžœã‚’紹介ã—ãŸã€‚ VAWTRAKã¯ã€ã„ã‚ゆるMan in the Browserã®æ‰‹æ³•ã‚’使ã£ã¦ä¸æ£é€é‡‘ã‚’è¡Œã†ãƒžãƒ«ã‚¦ã‚§ã‚¢ã 。国内ã®å¤§æ‰‹éŠ€è¡Œã®ã‚ªãƒ³ãƒ©ã‚¤ãƒ³ãƒãƒ³ã‚ングサービスã«å§‹ã¾ã‚Šã€åœ°æ–¹éŠ€è¡Œã‚„クレジットカード会社ã€ã•ã‚‰ã«ã¯ã‚ªãƒ³ãƒ©ã‚¤ãƒ³ã‚·ãƒ§ãƒƒãƒ”ングサイトã¸ã¨ã‚¿ãƒ¼ã‚²ãƒƒãƒˆã‚’広ã’ã¦ããŸã€‚æ—¢ã«2万å°ä»¥ä¸Šã®PCãŒæ„ŸæŸ“ã—ãŸã¨ã‚‚言ã‚ã‚Œã¦ã„る。 ニシダæ°ã«ã‚ˆã‚‹ã¨VAWTRAKã¯ã‚„や複雑ãªã‚¢ãƒ¼ã‚テクãƒãƒ£ã‚’å–ã£ã¦ãŠã‚Šã€åŸºæœ¬çš„ãªè¨å®šæƒ…å ±ã‚’ä¸Žãˆã‚‹C＆Cサーãƒãƒ¼ã¨ã¯åˆ¥ã«ã€ãƒžãƒ‹ãƒ”ュレーションサーãƒãƒ¼ã¨å‘¼ã°ã‚Œã‚‹æ”»æ’ƒç”¨JavaScriptã‚’é…ä¿¡ã™ã‚‹ã‚µãƒ¼ãƒãƒ¼ã‚‚用ã„る。マニピュレーションサーãƒãƒ¼ã¯
1
ランã‚ング
ランã‚ング
ランã‚ング
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
{{#tags}}- {{label}}
{{/tags}}