元Webデザイナーのセキュリティエンジニアが警告する、CSSインジェクションの脅威 | セキュリティブログ | 脆弱性診断（セキュリティ診断）のGMOサイバーセキュリティ byイエラエ

※この座談会は緊急事態宣言以前に実施しました。 イエラエセキュリティの顧問を務める川口洋が、イエラエセキュリティを支える多彩なメンバーと共に、サイバーセキュリティやサイバーリスクの今を語り合う座談会シリーズ、第11回をお送りします。 川口洋氏は、株式会社川口設計 代表取締役として、情報セキュリティEXPO、Interop、各都道府県警のサイバーテロ対策協議会などで講演、安全なITネットワークの実現を目指してセキュリティ演習なども提供しています。 イエラエ顧問として、「川口洋の座談会シリーズ」を2019年に開始。サイバーセキュリティを巡る様々な話題を、社内外のゲスト達と共に論じ語ってきました（川口洋の座談会シリーズ)。 今回ゲストとして登場するのは、イエラエセキュリティのペネトレーション課に所属する馬場将次。Webデザイナーとしての経験から、Webに関するセキュリティへの鋭い視点を持つ馬場。

[rryu]

first-childを何個も指定することで同じ要素を指しながらセレクタの詳細度を上げられるというのは、important禁止派の秘伝の裏技的な感じで伝承されてそう。

[tanupig]

“CTF:catch the flag コンテスト”

[nc44v-134-nvtyqfgq]

確かにbackground属性で特定のアプリにリクエスト誘導できるわ。ビーコンの手法の悪用だな

[ginpei]

CSSの属性セレクターと外部URLのbackground-imageを組み合わせて入力値を探す手法。さらに遅延importを入れ子にして先頭から順次1文字ずつ検索。CSRFトークンを抜き出したりできちゃうよ、と。