JavaScript:element.setAttributeã—ãŸã¨ãã®ã€HTMLã¯ã©ã†ãªã£ã¦ã„ã‚‹ã‹ï¼Ÿ
実験用コード： <form onsubmit="return false;"> <b>input_text:</b><br /> <textarea id="input-text" rows="4" cols="80"> ">Hello!</textarea><br /> 例）">Hello!<br /> <input type="button" value="実行" onclick="runTest_setAttribute_outerHTML();" /><br /> </form> <br /> <b>element.setAttribute("title", input_text)ã®outerHTML：</b><br /> <textarea id="output-html" rows="4" cols="80"> ã“ã“ã«ãƒ‡ãƒ¼ã‚¿å‡ºåŠ› </textarea><br
JavaScript:document.createTextNodeã‚’appendChildã—ãŸã¨ãã®ã€HTMLã¯ã©ã†ãªã£ã¦ã„ã‚‹ã‹ï¼Ÿ
JavaScript:document.createTextNodeã‚’appendChildã—ãŸã¨ãã®ã€HTMLã¯ã©ã†ãªã£ã¦ã„ã‚‹ã‹ï¼Ÿ イントãƒãƒ€ã‚¯ã‚·ãƒ§ãƒ³ JavaScript ã«ã¦ã€ã€ŒDOM Based XSSã€ã®è„†å¼±æ€§ã‚’埋ã‚込むã®ã‚’防ããŸã‚ã«ã¯ã€document.write ã‚„ element.innerHTML ãªã©ã‚’使ã†ã®ã§ã¯ãªãã€ä»¥ä¸‹ã®ã‚ˆã†ã« DOM æ“作用メソッドを使用ã™ã‚‹ã¨è‰¯ã„ã¨ã•ã‚Œã¦ã„ã¾ã™ã€‚ 入力ã•ã‚ŒãŸãƒ†ã‚ストをブラウザã®ãƒ‰ã‚ュメントã«è¡¨ç¤ºï¼š element.appendChild(document.createTextNode(input_text)); input_text : 入力ã•ã‚ŒãŸãƒ†ã‚スト element : テã‚ã‚¹ãƒˆã‚’è¿½åŠ ã™ã‚‹è¦ªè¦ç´ (element オブジェクト) ã“ã®ã¨ãã€ãƒ†ã‚ã‚¹ãƒˆã‚’è¿½åŠ ã—ãŸè¦ªè¦ç´ ã® HTML ãŒã€å…¥åŠ›ã•ã‚ŒãŸãƒ†ã‚ストã«ã‚ˆã£ã¦ã©ã†ãªã‚‹ã®ã‹æ°—ã«ãªã‚Š
ã‚»ã‚ュリティ対ç–：JavaScriptã§HTMLæ“作をã™ã‚‹äººã¯å¿…èªï¼IPAテクニカルウォッãƒã€€ã€ŽDOM Based XSSã€ã«é–¢ã™ã‚‹ãƒ¬ãƒãƒ¼ãƒˆ
ã‚»ã‚ュリティ対ç–：JavaScriptã§HTMLæ“作をã™ã‚‹äººã¯å¿…èªï¼IPAテクニカルウォッãƒã€€ã€ŽDOM Based XSSã€ã«é–¢ã™ã‚‹ãƒ¬ãƒãƒ¼ãƒˆ イントãƒãƒ€ã‚¯ã‚·ãƒ§ãƒ³ 誰ã§ã‚‚手軽ã«ä½¿ãˆã¦ä¾¿åˆ©ãª JavaScript ã§ã™ãŒã€æ›¸ã方を間é•ãˆã‚‹ã¨é‡å¤§ãªã‚»ã‚ュリティ上ã®å•é¡Œï¼ˆè„†å¼±æ€§ï¼‰ã‚’引ãèµ·ã“ã—ã¦ã—ã¾ã„ã¾ã™ã€‚ ãん㪠JavaScript を使ã£ãŸãƒ—ãƒã‚°ãƒ©ãƒ ã®è„†å¼±æ€§ã®ä¸ã§ã‚‚ã€ã†ã£ã‹ã‚Šä½œã‚Šã“ã‚“ã§ã—ã¾ã„ãŒã¡ãªã®ãŒã€ã€ŒDOM Based XSSã€ã§ã¯ãªã„ã§ã—ょã†ã‹ï¼Ÿ DOM Based XSS ã¯ã€JavaScript を使用ã—ã¦ã€ãƒ–ラウザã§è¡¨ç¤ºã—ã¦ã„ã‚‹ HTML æ§‹é€ ã«æ‰‹ã‚’åŠ ãˆã‚‹ã¨ãã«åŸ‹ã‚込んã§ã—ã¾ã„ãŒã¡ãªè„†å¼±æ€§ã§ã™ã€‚ 例ãˆã°ã€ãƒ–ラウザã§è¡¨ç¤ºã—ã¦ã„ã‚‹ç”»é¢ã‚’ã€document.write ã‚„ element.innerHTML ãªã©ã§æ›¸ãæ›ãˆã¦ã„ã¾ã›ã‚“ã‹ï¼Ÿ （ãれら以外ã«ã‚‚ã€å±é™ºãªãƒ¡ã‚½ãƒƒãƒ‰ãƒ»ãƒ—ãƒãƒ‘ティã¯ã‚ã‚Š
mXSS - Mutation-based Cross-Site-Scripting ã®ã¯ãªã— - 葉ã£ã±æ—¥è¨˜
ã“ã“æ•°å¹´ã€XSSæ¥ç•Œã®æœ€å…ˆç«¯ã§ç››ã‚Šä¸ŠãŒã£ã¦ã„る話題ã¨ã—㦠mXSS ã¨ã„ã†ã‚‚ã®ãŒã‚ã‚Šã¾ã™ã€‚mXSS - Mutation-based XSS ã¨ã¯ã€ä¾‹ãˆã° innerHTML ãªã©ã‚’経由ã—ã¦ã™ã§ã«æ§‹ç¯‰ã•ã‚Œã¦ã„ã‚‹DOMツリーをå‚ç…§ã—ãŸã¨ãã«ã€æœ¬æ¥ã®DOMæ§‹é€ ã¨ã¯ç•°ãªã‚‹çµæžœã‚’å¾—ã¦ã—ã¾ã„ã€ãã®ãŸã‚ã«HTMLæ§‹é€ ã®ç ´å£Šã‚’引ãèµ·ã“ã™ã¨ã„ã†é¡žã®DOM based XSSã®äºœç¨®ã¨ã‚‚言ãˆã¾ã™ã€‚ mXSSã«é–¢ã—ã¦ã¯ä»¥ä¸‹ã®è³‡æ–™ãªã©ãŒå‚考ã«ãªã‚Šã¾ã™ã€‚ The innerHTML Apocalypse mXSS Attacks: Attacking well-secured Web-Applications by using innerHTML Mutations ã©ã¡ã‚‰ã®è³‡æ–™ã«ã‚‚掲載ã•ã‚Œã¦ã„ã¾ã™ãŒã€mXSSã®ãã£ã‹ã‘ã¨ãªã£ãŸã®ã¯ 「教科書ã«è¼‰ã‚‰ãªã„Webアプリケーションセã‚ュリティ（1）：［ã“ã‚Œã¯ã²ã©ã„ï¼½IEã®
1
ランã‚ング
ランã‚ング
ランã‚ング
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
{{#tags}}- {{label}}
{{/tags}}