1-2. クロスサイトスクリプティング
最近「クロスサイトスクリプティング脆弱性により個人情報が盗まれる」といった話題を頻繁に耳にする。Webサイトを閲覧するだけで，ユーザの個人情報が盗み出されたり，コンピュータ上のファイルが破壊されたり，バックドアが仕掛けられたり，といったさまざまな被害を引き起こすセキュリティ問題である。 クロスサイトスクリプティングとは図1のような多少入り組んだ攻撃手法である。 ユーザが悪意あるWebサイトを閲覧したときに， 出力されるWebページに悪意あるスクリプトが埋め込まれており， まだそのスクリプトは効果を発揮せずに標的Webサイトへ転送され， 標的Webサイトの「スクリプトを排除しない欠陥」を介して，スクリプトが効果を発揮する形でブラウザへ戻ってきて， スクリプトがブラウザで実行され，クッキーが漏洩したり，ファイルが破壊したりといった被害が発生する， といった攻撃である。(4)のように，外部から与
XSSを防ぐために不可欠なサニタイジング（無害化）
前回「XSS脆弱性により起こる被害とその対策」は、XSS対策の重要なことの1つとして見落としがちな「入力チェック」があると解説した。今回は、その入力チェックとして特殊文字のサニタイジング（無害化）を中心に、セキュリティホールの対策について解説する。 特殊文字のサニタイジング（無害化） 前回までの入力チェックを確実に行っていれば、かなりセキュリティレベルの高いアプリケーションが出来上がっているはずである。しかしまだ完全ではないので、最後まで気を抜かないでいただきたい。ここでは、XSSを防ぐために不可欠なサニタイジングについて説明する。 XSSは、入力値をHTTPやHTMLの一部として出力する際に生まれるセキュリティホールである。これは入力値に含まれるいくつかの文字がHTTPやHTMLで特殊文字として定義されていて、それらの文字をそのまま出力してしまうことにより起こる。 XSSとは関係ないが、
[HotFix Report] セキュリティ用語－サニタイジング（sanitizing）
■サニタイジング（sanitizing） 入力データからHTMLタグやJavaScript、SQLなどの文字を検出し、置き換えを行うことで無害化する処理のこと。sanitizeとは、「無害にする」という意味。 掲示板などの入力フィールドを持つWebページにおいて、HTMLタグやスクリプトなどとして機能する文字列をエスケープした文字列に変換したり、文字列自体を削除したりすることで、タグやスクリプトとして機能しなくする。例えば、<SCRIPT>といったスクリプト・タグを「<SCRIPT>」とすることで、スクリプト・タグとして機能しないように変換する（ブラウザ上の表示自体は、<SCRIPT>となる）。 特に入力フィールドを持つWebページは、HTMLタグやスクリプトのサニタイジングは必須である。サニタイジングを行うことで、HTML生成時に不正な処理（主にクロスサイト・スクリプティング
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
monthlysec.net - monthly sec リソースおよび情報