ISO-2022-JPã®è‡ªå‹•åˆ¤å®šã«ã‚ˆã‚‹ã‚¯ãƒã‚¹ã‚µã‚¤ãƒˆãƒ»ã‚¹ã‚¯ãƒªãƒ—ティング(XSS)サマリ ISO-2022-JPã¨ã„ã†æ–‡å—エンコーディングã®è‡ªå‹•åˆ¤å®šã‚’悪用ã—ãŸã‚¯ãƒã‚¹ã‚µã‚¤ãƒˆãƒ»ã‚¹ã‚¯ãƒªãƒ—ティング(XSS)攻撃ã«ã¤ã„ã¦èª¬æ˜Žã™ã‚‹ã€‚ã“ã‚Œã¯ã€æ–‡å—エンコーディングをé©åˆ‡ã«æŒ‡å®šã—ã¦ã„ãªã„ウェブコンテンツã«å¯¾ã—ã¦ã€æ–‡å—エンコーディングをISO-2022-JPã¨èª¤èªã•ã›ã‚‹ã“ã¨ã§ãƒãƒƒã‚¯ã‚¹ãƒ©ãƒƒã‚·ãƒ¥ãŒå††è¨˜å·ã¨è§£é‡ˆã•ã‚Œã‚‹ã“ã¨ã«ã‚ˆã‚Šã‚¨ã‚¹ã‚±ãƒ¼ãƒ—処ç†ã‚’回é¿ã™ã‚‹æ”»æ’ƒã§ã‚る。本稿ã§ç´¹ä»‹ã™ã‚‹æ”»æ’ƒã¯ã€å¾“æ¥ã‹ã‚‰ã®ã‚»ã‚ュリティベストプラクティスã§ã‚る「文å—エンコーディングã®æ˜Žç¤ºã€ã«å¾“ã£ã¦ã„ã‚Œã°å½±éŸ¿ã‚’å—ã‘ã‚‹ã“ã¨ã¯ãªã„。 ã¯ã˜ã‚㫠クãƒã‚¹ã‚µã‚¤ãƒˆãƒ»ã‚¹ã‚¯ãƒªãƒ—ティング対ç–ã¨ã—ã¦ã€è¨˜å·æ–‡å—ã®ã‚¨ã‚¹ã‚±ãƒ¼ãƒ—処ç†ã«åŠ ãˆã¦ã€ã‚³ãƒ³ãƒ†ãƒ³ãƒ„ã®æ–‡å—エンコーディングをレスãƒãƒ³ã‚¹ãƒ˜ãƒƒãƒ€ã‚„metaã‚¿ã‚°ã§æ˜Žç¤ºã—ã¾ã—ょã†ã¨è¨€ã‚ã‚Œã¦ãã¾ã—ãŸï¼ˆå‚照）。ãã®èƒŒæ™¯ã¨ã—ã¦ã€UTF-7ã¨ã„ã†æ–‡å—エンコーディングを悪用ã—ãŸXSSã®å˜åœ¨ãŒã‚ã‚Šã¾ã—ãŸã€‚ã“ã®æ”»æ’ƒã«ã¤ã„ã¦ã¯ä»¥ä¸‹
Masato Kinugawa Security Blog: ユーザ入力を使ã£ãŸæ£è¦è¡¨ç¾ã‹ã‚‰ç”Ÿã˜ã‚‹DOM based XSS
5æ–‡å—ã§æ›¸ãJavaScript/ Shibuya.XSS techtalk #10
{{#tags}}- {{label}}
{{/tags}}