ドットインストール代表ã®ãƒ©ã‚¤ãƒ•ãƒãƒƒã‚¯ãƒ–ãƒã‚°
IDEA * IDEA
ドットインストール代表ã®ãƒ©ã‚¤ãƒ•ãƒãƒƒã‚¯ãƒ–ãƒã‚°
Masato Kinugawa Security Blog: ãŸã¶ã‚“XSSãŒç†ç”±ã§ã‚¤ãƒ³ã‚¿ãƒ¼ãƒãƒƒãƒˆãŒã¨ã¾ã£ãŸ
昔自分ãŒåˆ©ç”¨è€…ã ã£ãŸã‚µã‚¤ãƒˆã®ã‚»ã‚ュリティå•é¡Œ(XSS)ã‚’ã„ãã¤ã‹å ±å‘Šã—ã¦ã„ãŸã®ã§ã™ãŒã€ãŠãらããã®ãƒªã‚¯ã‚¨ã‚¹ãƒˆã‚’ç†ç”±ã«ã‚¤ãƒ³ã‚¿ãƒ¼ãƒãƒƒãƒˆãŒä½¿ãˆãªããªã‚Šã¾ã—ãŸã€‚プãƒãƒã‚¤ãƒ€ã«æŽ¥ç¶šã‚’æ¢ã‚られãŸã®ã§ã™ã€‚ ãã®ã‚µã‚¤ãƒˆã§å•é¡Œã‚’ã¿ã¤ã‘ãŸã¨ãã€ã‚µãƒ¼ãƒ“スæ供者å´ã®å応を示ã™å…†å€™ãŒã‚ã‚Šã¾ã—ãŸã€‚ å•é¡Œã‚’発見後ã€ã—ã°ã‚‰ãã—ã¦ã‚¢ã‚¯ã‚»ã‚¹ã—よã†ã¨ã™ã‚‹ã¨ã€ã‚¢ã‚¯ã‚»ã‚¹ã‚’æ‹’å¦ã•ã‚ŒãŸã‹ã‚‰ã§ã™ã€‚ サービスæ供者ã«ã¯å•é¡Œã‚’å ±å‘Šã—ã€ã‚¢ã‚¯ã‚»ã‚¹æ‹’å¦ã«ã¤ã„ã¦ã‚‚ã€ä¸€å¿œã€ä»Šå ±å‘Šã—ã¦ã‚‹é€šã‚Šã“ã‚Œã¯æ”»æ’ƒã§ã¯ãªã„ã®ã§èª¤è§£ãªãよã†ã‚ˆã‚ã—ãã¨ãƒ¡ãƒ¼ãƒ«é€£çµ¡ã—ãŸã¨ã“ã‚ã€å•é¡Œã¯ä¿®æ£ã•ã‚Œã¾ã—ãŸã€‚ ã“ã‚Œã§çœŸæ„ã¯ä¼ã‚ã‚Šã€ã‚¢ã‚¯ã‚»ã‚¹ã¨é–¢é€£ä»˜ã‘られã€ã‚¢ã‚¯ã‚»ã‚¹æ‹’å¦ã«å¯¾ã™ã‚‹èª¤è§£ã‚‚解決ã—ãŸã ã‚ã†ã¨æ€ã£ãŸã®ã§ã™ãŒã€ãã®å¾Œæ€¥ã«ã‚¤ãƒ³ã‚¿ãƒ¼ãƒãƒƒãƒˆãŒä½¿ãˆãªã„事態ã«ã¾ã§ãªã‚‹ã¨ã¯ã ã‚ŒãŒäºˆæƒ³ã§ããŸã§ã—ょã†ã‹â€¦ã€‚(今ã¯æºå¸¯ã®å›žç·šã‚’使ã£ã¦ã„ã¾ã™) プãƒãƒã‚¤ãƒ€ã‹ã‚‰æ›¸é¢ãŒå±Šãã€æ›¸é¢ã«ã¯å•é¡Œã®å ±å‘Šæ™‚ã¨ã»ã¼åŒã˜æ—¥ä»˜ã«
XSSå†å…¥é–€
4. 典型的ãªXSSサンプルã«å¯¾ã™ã‚‹ã€Œç´ 朴ãªç–‘å•ã€ • クッã‚ーã®å€¤ãŒã‚¢ãƒ©ãƒ¼ãƒˆã§è¡¨ç¤ºã•ã‚Œã¦ã‚‚ã€ç‰¹ã«å±é™ºæ€§ã¯ãªã„よ ã†ãªæ°—ãŒã™ã‚‹ • クッã‚ーã®å€¤ã¯ãƒ–ラウザã®ã‚¢ãƒ‰ã‚ªãƒ³ãªã©ã§ã‚‚表示ã§ãるよã • ä»»æ„ã®JavaScriptãŒå®Ÿè¡Œã•ã‚Œã‚‹ã¨è¨€ã£ã¦ã‚‚ã€ãƒ›ãƒ¼ãƒ ページ作 ã‚Œã°ä»»æ„ã®JavaScriptãŒæ›¸ã‘ã‚‹ã—ã€è¦‹ãŸäººã®ãƒ–ラウザã§å®Ÿè¡Œ ã•ã‚Œã‚‹ã‚ˆã… Copyright © 2013 HASH Consulting Corp. 4 5. ãã‚‚ãã‚‚ã®ç–‘å•ï¼šJavaScriptã¯å±é™ºã‹? • 実ã¯ã€JavaScriptã®å®Ÿè¡Œè‡ªä½“ã¯å±é™ºã§ã¯ãªã„ • Webã¯ã€æœªçŸ¥ã®ï¼ˆã²ã‚‡ã£ã¨ã™ã‚‹ã¨æ‚ªæ„ã®ã‚ã‚‹?）サイトを訪å•ã— ã¦ã‚‚「悪ã„ã“ã¨ã€ãŒèµ·ããªã„よã†ã«è¨è¨ˆã•ã‚Œã¦ã„ã‚‹ • JavaScriptã®ã€Œã‚µãƒ³ãƒ‰ãƒœãƒƒã‚¯ã‚¹ã€ã«ã‚ˆã‚‹ä¿è· – JavaScriptã‹ã‚‰ãƒãƒ¼ã‚«ãƒ«ãƒ•ã‚¡ã‚¤ãƒ«ã«ã‚¢ã‚¯ã‚»ã‚¹ã§ããªã„ – JavaScriptã‹ã‚‰ã‚¯ãƒªãƒƒãƒ—
X-Content-Type-Options: nosniff ã¤ã‹ã‚ãªã„ã‚„ã¤ã¯æ»ãã°ã„ã„ã®ã«! - 葉ã£ã±æ—¥è¨˜
2011-01-06: IE8ã¨ã„ã†ã“ã¨ã‚’追記 & ã¡ã‚‡ã£ã¨é–“é•ã„ã‚’ä¿®æ£ã€‚ã‚ã‘ã¾ã—ã¦ãŠã‚ã§ã¨ã†ã”ã–ã„ã¾ã™ã€‚ 年明ã‘早々ã§ã™ãŒã€Internet Explorerã®è©±é¡Œã§ã™ã€‚IEã¯ã”å˜ã˜ã®é€šã‚Šã€Content-Type ã ã‘ã§ãªãコンテンツã®å†…容ãªã©ã‚‚ sniff ã™ã‚‹ã“ã¨ã§ãƒ•ã‚¡ã‚¤ãƒ«ã‚¿ã‚¤ãƒ—を決定ã—ã¦ã„ã‚‹ãŸã‚ã€ç”»åƒãƒ•ã‚¡ã‚¤ãƒ«ã‚„テã‚ストファイルをHTMLã¨åˆ¤å®šã—ã¦ã—ã¾ã„ã€ã‚¯ãƒã‚¹ã‚µã‚¤ãƒˆã‚¹ã‚¯ãƒªãƒ—ティングãŒç™ºç”Ÿã™ã‚‹ã“ã¨ãŒæ˜”ã‹ã‚‰ãŸã³ãŸã³å ±å‘Šã•ã‚Œã¦ã„ã¾ã—ãŸ*1。ç¾åœ¨ã¯å¹¾åˆ†ãƒžã‚·ã«ãªã£ãŸã¨ã¯ã„ãˆã€IEã®ãƒ•ã‚¡ã‚¤ãƒ«ã‚¿ã‚¤ãƒ—ã®åˆ¤å®šã‚¢ãƒ«ã‚´ãƒªã‚ºãƒ ã¯éžå¸¸ã«é›£è§£ã§ã‚ã‚Šã€ç¾åœ¨ã§ã‚‚状æ³ã«ã‚ˆã£ã¦ã¯Webサイトé‹å–¶è€…ã®ã¾ã£ãŸãæ„図ã—ã¦ã„ãªã„ã‹ãŸã¡ã§ã®XSSãŒç™ºç”Ÿã™ã‚‹å¯èƒ½æ€§ãŒã‚ã£ãŸã‚Šã—ã¾ã™ã€‚ãã†ã„ã†ã‚ã‘ã§ã€IEãŒã‚³ãƒ³ãƒ†ãƒ³ãƒ„ã‚’ sniff ã—ã¦HTML以外ã®ã‚‚ã®ã‚’HTML扱ã„ã—ã¦ã—ã¾ã†ã“ã¨ã‚’防ããŸã‚ã«ã€å‹•çš„ã«ã‚³ãƒ³ãƒ†ãƒ³ãƒ„を生æˆã—ã¦ã„ã‚‹å ´åˆã«
Kazuho@Cybozu Labs: XSSã«å¼·ã„ウェブサイトを作る – テンプレートエンジンã®é¸å®šåŸºæº–ã¨ã‚¹ãƒ‹ãƒšãƒƒãƒˆã®ç”Ÿæˆæ‰‹æ³• (第１回神泉セã‚ュリティ勉強会発表資料)
発表資料ã¯ä»¥ä¸‹ã®ã¨ãŠã‚Šã€‚春山様ã¯ã˜ã‚ECナビã®çš†æ§˜ã€ã‚ã‚ŠãŒã¨ã†ã”ã–ã„ã¾ã—ãŸã€‚ XSSã«å¼·ã„ウェブサイトを作る – テンプレートエンジンã®é¸å®šåŸºæº–ã¨ã‚¹ãƒ‹ãƒšãƒƒãƒˆã®ç”Ÿæˆæ‰‹æ³•View more presentations from kazuho.
perl - Encodeã§XSSを防ã : 404 Blog Not Found
2009å¹´03月03æ—¥19:00 カテゴリLightweight Languages perl - Encodeã§XSSを防ã 良記事。 第7回■文å—エンコーディングãŒç”Ÿã¿å‡ºã™ãœã„弱性を知る：ITpro ã ã‘ã©ã€å•é¡Œç‚¹ã®ã¿å…·ä½“例ãŒã‚ã£ã¦ã€å¯¾ç–ã«ãªã„ã®ãŒç‰‡æ‰‹è½ã¡ã«æ„Ÿã˜ã‚‰ã‚ŒãŸã®ã§ã€ãã®ç‚¹ã‚’補足。 çµè«–ã ã‘言ã£ã¦ã—ã¾ãˆã°ã€Perlãªã‚‰ä»¥ä¸‹ã®åŽŸå‰‡ã‚’守るã ã‘ã§ã™ã€‚ 404 Blog Not Found:perl - Encode 入門 ã™ã§ã«OSCONã§ã‚‚YAPCã§ã‚‚ã€ã‚ã¡ã“ã¡ãã¡ã“ã¡ã§ã“ã®åŸºæœ¬æ–¹é‡ã«é–¢ã—ã¦ã¯è©±ã—ãŸã®ã§ã™ãŒã€ã“ã“ 404 Blog Not Found ã§ã‚‚改ã‚ã¦ã€‚ Perl 㧠utf8 化ã‘ã—ãŸã¨ãã«ã©ã†ã—ãŸã‚‰ã„ã„ã‹ - TokuLog 改゠ã ã¾ã£ã¦ã‚³ãƒ¼ãƒ‰ã‚’書ã‘よãƒã‚²å…¥ã‚Šå£ã§ decode ã—ã¦ã€å†…部ã§ã¯ã™ã¹ã¦ flagged utf8 ã§æ‰±ã„ã€å‡ºå£ã§ encode ã™ã‚‹ã€‚ã“ã‚ŒãŒ
1
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
{{#tags}}- {{label}}
{{/tags}}