Kazuho@Cybozu Labs: XSSã«å¼·ã„ウェブサイトを作る – テンプレートエンジンã®é¸å®šåŸºæº–ã¨ã‚¹ãƒ‹ãƒšãƒƒãƒˆã®ç”Ÿæˆæ‰‹æ³• (第１回神泉セã‚ュリティ勉強会発表資料)
発表資料ã¯ä»¥ä¸‹ã®ã¨ãŠã‚Šã€‚春山様ã¯ã˜ã‚ECナビã®çš†æ§˜ã€ã‚ã‚ŠãŒã¨ã†ã”ã–ã„ã¾ã—ãŸã€‚ XSSã«å¼·ã„ウェブサイトを作る – テンプレートエンジンã®é¸å®šåŸºæº–ã¨ã‚¹ãƒ‹ãƒšãƒƒãƒˆã®ç”Ÿæˆæ‰‹æ³•View more presentations from kazuho.
æ§‹é€ åŒ–ãƒ†ã‚ストã®é–“é•ã£ãŸã‚¨ã‚¹ã‚±ãƒ¼ãƒ—手法ã«ã¤ã„㦠: 404 Blog Not Found
2010å¹´09月22æ—¥21:30 カテゴリLightweight Languages æ§‹é€ åŒ–ãƒ†ã‚ストã®é–“é•ã£ãŸã‚¨ã‚¹ã‚±ãƒ¼ãƒ—手法ã«ã¤ã„㦠昨晩ã®twitter XSSç¥ã‚Šã¯ã€ãµã ã‚“ã‚‚twitter.comã¯ä½¿ã‚ãªã„ç§ã«ã¯é ãã®ç¥ã‚Šå›ƒåã ã£ãŸã®ã§ã™ãŒã€ã›ã£ã‹ãã®è‡ªæˆ’ã®æ©Ÿä¼šãªã®ã§ã€‚ Kazuho@Cybozu Labs: (Twitter ã® XSS 脆弱性ã«é–¢é€£ã—ã¦) æ§‹é€ åŒ–ãƒ†ã‚ストã®æ£ã—ã„エスケープ手法ã«ã¤ã„㦠æ£ã—ã„アプãƒãƒ¼ãƒã¯ã€å…¨ã¦ã®ãƒ«ãƒ¼ãƒ«ã‚’åŒæ™‚ã«é©ç”¨ã™ã‚‹ã“ã¨ã§ã™ã€‚ ã“ã‚Œã¯æ®‹å¿µãªãŒã‚‰(ãŠãらã)å¿…è¦æ¡ä»¶ã§ã‚ã£ã¦ã‚‚å分æ¡ä»¶ã§ã¯ã‚ã‚Šã¾ã›ã‚“。 ã“ã†ã„ã†(ã‹ãªã‚Šãˆãˆã‹ã’ã‚“ãª)æ£è¦è¡¨ç¾ã§tweetã‚’parseã—ã¦ã„ãŸã¨ã—ã¾ã™ã€‚ re_http = '(?:https?://[\\x21-\\x7e]+)'; re_user = '(?:[@][0-9A-Za-z_]{1,15})'; re_hash
“完璧ãªWAFâ€ã«å¦ã¶WAFã®é˜²å¾¡æˆ¦ç•¥ - ockeghem's blog
ã‚»ã‚ュリティExpert 2010ã«å¤§æ²³å†…智秀æ°ãŒã€Œç¾çŠ¶ã®èª²é¡Œã¨â€œå®Œç’§ãªWAFâ€ã€ã¨é¡Œã—ã¦å¯„稿ã•ã‚Œã¦ã„る。大変興味深ã„内容ã§ã‚ã‚‹ã®ã§ã€ã“ã®å¯„稿をãªãžã‚ŠãªãŒã‚‰ã€WAFã®é˜²å¾¡æˆ¦ç•¥ã«ã¤ã„ã¦æ¤œè¨Žã—ã¦ã¿ãŸã„。 クãƒã‚¹ã‚µã‚¤ãƒˆãƒ»ã‚¹ã‚¯ãƒªãƒ—ティング(XSS)ã«å¯¾ã™ã‚‹é˜²å¾¡ 大河内æ°ã®å¯„稿ã®å‰åŠã¯ã€ç¾çŠ¶ã®WAFã®èª²é¡Œã¨ã—ã¦ã€Webアプリケーションã«å¯¾ã™ã‚‹æ”»æ’ƒã®å¤šã（大åŠï¼‰ãŒWAFã®ãƒ‡ãƒ•ã‚©ãƒ«ãƒˆè¨å®šã§ã¯é˜²å¾¡ã§ããªã„ã¨æŒ‡æ‘˜ã™ã‚‹ã€‚例ãˆã°ã‚¯ãƒã‚¹ã‚µã‚¤ãƒˆãƒ»ã‚¹ã‚¯ãƒªãƒ—ティング(XSS)ã«é–¢ã—ã¦ã¯ã€ä»¥ä¸‹ã®ã‚ˆã†ãªæŒ‡æ‘˜ãŒã‚る。 ä»®ã«scriptをブラックリストã«æŒ‡å®šã—ãŸã¨ã—ã¾ã—ょã†ã€‚ãã‚Œã§ã‚‚ã¾ã ä¸å分ã§ã™ã€‚<IMG>ã‚¿ã‚°ã§XSSãŒç™ºå‹•ã™ã‚‹ã“ã¨ã‚’ã”å˜ã˜ã§ã—ょã†ã‹ï¼Ÿãƒ—ãƒã‚°ãƒ©ãƒ ãªã©ã§ã¯<IMG>ã‚¿ã‚°ã¯ç”»åƒæ·»ä»˜ã«å¿…é ˆã§ã‚ã‚Šã€WAFã§ç¦æ¢ã™ã‚‹ã“ã¨ã¯é›£ã—ã„ã®ãŒå®Ÿæƒ…ã§ã€ãƒ–ラックリスト方å¼ã®èª²é¡Œã¨ãªã£ã¦ã„ã¾ã™ã€‚ 「ç¾çŠ¶ã®èª²é¡Œã¨â€œå®Œç’§ãªWAFâ€ã€ã‚ˆã‚Šå¼•
1
ランã‚ング
ランã‚ング
ランã‚ング
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
処ç†ã‚’実行ä¸ã§ã™
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
{{#tags}}- {{label}}
{{/tags}}