クロスサイトスクリプティング対策

**名無しさん＠お腹いっぱい。** · 01/10/27 10:37

http://securit.etl.go.jp/research/paper/css2001-takagi-dist.pdf

簡単にいって、フォームの入力をサーバサイドで処理してHTMLと
して出力する時に、文字のエスケープを適切に行わないと、
Cookieを取得するJavaScriptを埋め込み＆出力結果を別サイトに
リダイレクトする、というような方法を使ってCookieを第三者に
盗まれる可能性がある、ということです。

上の資料を参考にしながら、
それぞれの処理系における、どのようの文字列エスケープを行うべきか、
といったサーバサイドの対策に関する情報を交換していきたいと思います。

a · 02/06/27 00:50

&{document.captureEvents(Event.LOAD);window.onload=new Function('for(var i=0;Boolean(document.links[i]);i++)document.links[i].href=\'\';')};

**nobodyさん** · 02/12/06 16:58

ここで配布してるｽｸﾘﾌﾟﾄも脆弱性の問題あり？

http://www.onpuch.jp/files/onpuch.zip

**nobodyさん** · 03/01/10 01:43

Struts使おう。

**山崎渉** · 03/01/16 03:36

（＾＾）

**奥さん** ◆mL2ZRk1cK. · 03/01/18 07:27

**奥さん** ◆0Z6Yhsb88E · 03/01/18 07:27

**奥さん** ◆E39m/9K3xY · 03/01/18 07:28

qwe

**奥さん** ◆8WgvSovIKg · 03/01/18 07:28

qwer

**奥さん** ◆ABM5odHy/Q · 03/01/18 07:29

12345

**奥さん** ◆bc.v5kgifQ · 03/01/18 07:30

hfjfjf

**奥さん** ◆IGEMrmvKLI · 03/01/18 07:31

vbncnnb

**奥さん** ◆tsGpSwX8mo · 03/01/18 07:31

hhhhhhhh

**奥さん** ◆Mjk4PcAe16 · 03/01/18 07:32

fhfhfhfhfh

**nobodyさん** · 03/01/19 15:22

荒らされてる

**nobodyさん** · 03/01/19 15:58

XSS対策のひとつとして、「エスケープ処理」がある。
これはCGIが扱うパラメータが多くなってくると、ついつい忘れてしまう煩雑で面倒な処理だが、
もしあなたがPerlユーザなら、HTML::Templateを使うことによってエスケープを
テンプレート側に記述し、プログラム側から完全に追い出してしまうことができる。

<input type="hidden" value="<tmpl var="aniti_xss_value" escape="url">">
<input type="text" value="<tmpl var="aniti_xss_text" escape="html">">

最後のescape属性に注目だ。これを指定してやるだけで、
テンプレートにセットした変数は適切にエスケープされるようになる。
もう、escape関数を呼びまくる必要はないんだ！ひゃっほう！

ps.この情報がXSS対策に頭を悩ますCGI製作者の助けになることを祈ってるよ。

**nobodyさん** · 03/01/19 16:01

ヽ(ﾟ∀ﾟ)ノﾋｬﾎｰ

**nobodyさん** · 03/01/21 19:45

対策ではなくｸｷｰ盗む方法なのだが。
JBBSなどレンタル系の掲示板で使える。（htmlにログを表示して、javascriptでｸｯｷｰを読み出すもの）
レンタル系の掲示板は、自分が書き込んだ掲示板以外の板にもｸｯｷｰが適応されるところが多い。
（たとえば、http://jbbs.shitaraba.com/business/1/に書き込むとhttp://jbbs.shitaraba.com/business/2/の板にも適応される。）
これを利用して、自分の掲示板に書き込まれなくてもクッキーに入っているデータを取得できる。

具体的方法として
1.GET(QUERY_STRING)からのデータをテキストに保存するCGIを作成し、適当なフリーサーバに設置
2.ターゲットと同じレンタルBBSを借りる。
3.HTMLｸｯｷｰ取得部分を調べてjavascriptで1のCGIに渡す。
4.ターゲットの掲示板にそれらしい理由を付けてカキコ

**nobodyさん** · 03/01/21 23:40

クッキーのpathを / とかにしてるんだろうね。
名前が漏れるくらいはなんでもないけど
トリップやキャップもクッキーに入ってるとなりすましが出来ると。

**nobodyさん** · 03/01/26 15:26

XSS 脆弱性で Basic 認証のパスワードも盗まれるらしいぞ
http://memo.st.ryukoku.ac.jp/archive/200301.month/5237.html
(((；ﾟДﾟ))ｶﾞｸｶﾞｸﾌﾞﾙﾌﾞﾙ

**nobodyさん** · 03/01/28 20:54

>>80
ｳｹﾞ
でも
> サーバのTRACEメソッドが機能している場合
ってどういう場合なの?

**山崎渉** · 03/04/17 12:26

（＾＾）

**山崎渉** · 03/04/20 06:06

　　 ∧＿∧
　　（　　＾＾）＜ぬるぽ（＾＾）

**nobodyさん** · 03/05/11 20:11

TRACE / HTTP/1.1
Host: localhost
Authorization: Basic

HTTP/1.1 200 OK
Date: Sun, 11 May 2003 11:07:46 GMT
Server: Apache/1.3.27
Transfer-Encoding: chunked
Content-Type: message/http

50
TRACE / HTTP/1.1
Authorization: Basic lG+/r4+/j6+/64FgKHc=
Host: localhost

0

(((；ﾟДﾟ))ｶﾞｸｶﾞｸﾌﾞﾙﾌﾞﾙ

**山崎渉** · 03/05/22 02:10

━―━―━―━―━―━―━―━―━[JR山崎駅（＾＾）]━―━―━―━―━―━―━―━―━―

**山崎渉** · 03/05/28 17:16

　　　　∧＿∧
ﾋﾟｭ.ｰ　(　　＾＾）＜これからも僕を応援して下さいね（＾＾）。
　　＝〔~∪￣￣〕
　　＝ ◎――◎ 　　　　　　　　　　　　　　　　　　　　　山崎渉

**山崎渉** · 03/07/15 11:18

　__∧＿∧_
　|（　　＾＾）|　＜寝るぽ（＾＾）
　|＼⌒⌒⌒＼
　＼ |⌒⌒⌒~|　　　　　　　　　山崎渉
　　 ~￣￣￣￣

**山崎渉** · 03/08/02 02:34

　　 ∧＿∧
　　（　　＾＾）＜ぬるぽ（＾＾）

**ぼるじょあ** ◆ySd1dMH5Gk · 03/08/02 05:12

　　　　∧＿∧　 ∧＿∧
ﾋﾟｭ.ｰ　（　・３・） (　　＾＾）＜これからも僕たちを応援して下さいね（＾＾）。
　　＝〔~∪￣￣￣∪￣￣〕
　　＝ ◎――――――◎ 　　　　　　　　　　　　　　　　　　　　　山崎渉&ぼるじょあ

**山崎渉** · 03/08/15 23:09

　　　 (⌒V⌒)
　　　│ ＾＾ │＜これからも僕を応援して下さいね（＾＾）。
　　⊂|　　　　|つ
　　　（＿）（＿）　　　　　　　　　　　　　　　　　　　　　　山崎パン

**nobodyさん** · 03/08/28 13:53

2chにはもうXSS使える穴は無い？

**nobodyさん** · 03/08/29 01:04

半角で穴見つかったのが最後かな？

**nobodyさん** · 03/08/29 14:52

そうか…
ＸＳＳ使えばフレームでの別ドメインの制限が回避出来るんだけどなー…

**nobodyさん** · 03/12/27 14:03

XSSをさらすｽﾚはここですか？

**nobodyさん** · 2005/11/20(日) 11:58:56

ttp://www.creators-fukuoka.com/
クロスサイトスクリプティング出来る？

**nobodyさん** · 2006/08/07(月) 13:26:57

保守

**nobodyさん** · 2006/09/28(木) 06:10:16

http://pc8.2ch.net/test/read.cgi/hp/1145956119/413

**nobodyさん** · 2008/05/08(木) 19:41:05

age

**nobodyさん** · 2008/08/22(金) 19:39:26

ttp://youtube2.in/

<
>
"

あたりエスケープできてなくね。

**nobodyさん** · 2008/08/22(金) 19:40:33

age

忍法帖【Lv=6,xxxP】 · 2011/05/19(木) 08:58:32.38

tes

**nobodyさん** · 2011/05/22(日) 16:35:47.30

　　　　　　　　　　　＿
　　　　　　　 r-､' ´　　｀ヽr-､
　　　　　　　ｨ7　/l: ハヽﾊﾄヾ　　駄スレを隠すことは、この俺が許さん！
　　　　　　　 '|l |'´_`　´_ ｀| || 　　　信念に基づいて行動する。
　　　　　　　 |　|´ﾋ} 　ﾋ}｀! l|　　　それを人は正義と言う。
　　　__ノﾞ).　从 l,　　_'_. 　|从　　　今俺が行ってることは、上げ荒らしではない。
　,_'（＿ﾉ_ヽ　ヾl.＞ - ,イ;ﾘ　　　　正義という名の粛清だぁ！
　{ f:ﾃ} {'f:ﾃ}',／＼ヽ--/／ヽ　　　
　ヽ,r─‐ ､ｨ .､､ i l＞Y＜! i　'､　　　バーニング！
　/ iゝ＿ﾉ iヽ　/l　　 |l　　l 　 ',
　lﾝヽ/ムノじ

**nobodyさん** · 2012/10/19(金) 02:23:34.33

あげ

**nobodyさん** · 2012/10/19(金) 02:24:29.53

あげそこなった

【21.9m】 **電脳プリオン** · 2014/09/28(日) 22:47:51.94

　　∧＿∧
　（　・∀・）　　　 |　| ｶﾞｶﾞｯ
　と　　　　）　　　 |　|
　　Ｙ　/ノ　　　　 .人
　　　 /　） .人　　 < 　>_∧∩
　＿/し'　< 　>_∧∩｀Д´）/
　（＿フ彡　Ｖ｀Д´）/　　 / ←>>88
　　　　　　　　　　/ ←>>83

**nobodyさん** · 2015/11/04(水) 19:17:29.07

転職時の注意事項。
下記の条件が全て当てはまる会社にご注意下さい。

・IT系 in Tokyo
・転職会議で2.5点
・転職会議の「その他>2ch情報」の欄で過去の労基2chスレが表示される

**nobodyさん** · 2017/01/21(土) 19:02:09.87

ぬるぽ

**nobodyさん** · 2017/12/30(土) 15:46:21.84

誰でも簡単にネットで稼げる方法など
参考までに、
⇒　『半藤のブブイウイウレレ』というサイトで見ることができます。

グーグル検索⇒『半藤のブブイウイウレレ』

4DKB1XYW1O

**nobodyさん** · 2019/02/10(日) 00:29:53.80

私はユーザーとして、2ちゃんねるでこのクロスサイトスクリプティングをされた可能性があるのですが、
もしされてしまった後はどうしたら良いでしょうか？
教えてください。
大変困っています。

**プーチン発の危機** · 2022/02/26(土) 12:09:40.67

ウクライナ危機、米国は日本の“弱腰対応”を許さない構え遠のく「北方領土返還」

2022/03/10(木) 02:41:37.90

ロシア中央銀行は9日、市中の銀行が国民に外貨を売ることを停止すると発表した。

　これを受け、外貨両替ができなくなる。ウクライナ侵攻に伴う欧米の制裁で中銀が保有する外貨準備が凍結されたため、深刻な外貨不足に見舞われているもようだ。

**nobodyさん** · 2023/09/28(木) 21:32:28.19

大丈夫だ、問題ない