Prevent DOM-based cross-site scripting vulnerabilities with Trusted Types | Articles | web.dev
Prevent DOM-based cross-site scripting vulnerabilities with Trusted Types Stay organized with collections Save and categorize content based on your preferences. DOM-based cross-site scripting (DOM XSS) happens when data from a user-controlled source (like a username, or a redirect URL taken from the URL fragment) reaches a sink, which is a function like eval() or a property setter like .innerHTML
Content security policy | Articles | web.dev
Content security policy Stay organized with collections Save and categorize content based on your preferences. Content Security Policy can significantly reduce the risk and impact of cross-site scripting attacks in modern browsers. The web's security model is based on a same-origin policy. For example, code from https://mybank.com must have access to only https://mybank.com's data, and https://evi
2018年 報奨金制度を振り返って - Cybozu Inside Out | サイボウズエンジニアのブログ
こんにちは。Cy-PSIRT(Cybozu Product Security Incident Response Team)の福永です。 本エントリでは 2018年に実施した報奨金制度の結果 参加者からのご意見 について、ご紹介いたします。 2018年に実施した報奨金制度の結果 定量情報 2018年の脆弱性認定数は155件、報奨金支払金額は21,055,000円でした。*1 着信数認定数(暫定)報奨金支払金額(暫定) 362件155件21,055,000 円 前年度と比較して、着信数、認定数ともに約1.5倍に増加し、報奨金支払金額の合計も倍近くに増えました。2017年7月7日から開始した「報奨金最大5倍キャンペーン」を、2018年には、通年化したことが主な要因です。 2018年度報奨金獲得ランキング 総額ランキング 獲得した報奨金額の合計が最も多かったのは、西谷完太（@no1zy_sec）
CWE-79
解説 解説要約 この脆弱性の存在するソフトウェアは、ユーザからの入力に対する無害化を適切に行わないまま、他のユーザに提供する Web ページの出力に含めます。 詳細な解説 クロスサイトスクリプティング (XSS) の脆弱性は、以下の様に発生します。 1. 信頼できないデータが（一般的に Web リクエストから）Web アプリケーションに入力され、 2. Web アプリケーションが、この信頼できないデータを含む Web ページを動的に生成します。 3. その際 Web アプリケーションは、信頼できないデータに含まれる Web ブラウザで実行可能なコンテンツ (JavaScript、HTML タグ、HTML アトリビュート、マウスイベント、Flash、 ActiveX 等) を排除しません。 4. 一般ユーザが、Web ブラウザを介して生成されたページにアクセスします。この Web ページには
XSS Auditor が有効になっているかチェックするためのページを作りました
Security XSS Auditor が有効になっているかチェックするためのページを作りました※当サイトにはプロモーションが含まれています。 1. XSS とは？XSS (Cross-site Scripting) とは、Webサイト上で行われる攻撃の1つです。 いろいろな種類があるのですが、単純な例をあげると以下のシナリオで任意の JavaScriptコードを実行させる攻撃が XSS です。 掲示板サイトがあるとします。投稿欄に JavaScriptコードを入力して投稿します。投稿した内容は Webページ上に表示されますが、HTML として出力される中に JavaScriptコードが含まれていると、そのままこのコードが実行されてしまいます（本来は適切なエスケープ処理が必要です）。Webサイトによって違いますが、JavaScript を使うと個人情報やそれに紐づく情報を別のサーバーに送
The 7 Main XSS Cases Everyone Should Know - Brute XSS
When reading material on XSS subject we usually see the classical <script>alert(1)</script> as an demonstration of such vulnerability (PoC – Proof of Concept). While very true, it doesn’t go much beyond this, making the novice in this field to look for more in order to deal with real world scenarios. So here are the 7 cases everyone should know to be able to exploit the vast majority of XSS flaws
最近のJavaScriptフレームワークでのXSS
所謂、最近流行っているJavaScriptフレームワークでのXSSの例をいくつか挙げようと思う。 最近のJavaScriptフレームワークは賢いので、データをバインドする際にHTMLエスケープしてくれてXSSから保護してくれる。 しかしながら、保護が適用されないケースもあるため、過度にフレームワークに信頼しているとXSSを作り込んでしまう。 ここではReactとVue.jsでその例をいくつか挙げようと思う。 あくまで「やってしまうかもしれない例」というだけで、ReactやVue.jsの固有の問題というわけではないです。 React javascript:スキーム aタグのhref属性にjavascript:やdata:text/htmlなどの任意のスキームをユーザーが設定できる場合、XSSが生じる。 これはReactに限った話ではなく、古くからある手法だが、未だにたまに見る。 import
JavaScript とHTML5のセキュリティ対策
1. 基礎知識発生しやすい脆弱性DOM based XSS (Cross-Site Scripting)Stored DOM based XSS (Cross-Site Scripting)window.localStorage を経由する, etc.Client-side Open Redirect （クライアント側のオープンリダイレクト）CSRF (クロスサイト・リクエスト・フォージェリ)アクセス制御や認可制御の欠落Ajaxデータの漏えいetc.信頼できない値はどこからくるのか？（ソース）windowオブジェクトやdocumentオブジェクトのプロパティコンテンツをロードした際のURIの構成要素document.URL *document.location.pathname *document.location.search *document.location.hashdocumen
DOM ベース XSS 対策チートシート - OWASP
クロスサイトスクリプティング (XSS) は、一般に次の 3 種類に分類されます。 反射型、格納型、および DOM ベースの XSS です。反射型 XSS と格納型 XSS については、XSS 対策チートシートで詳しく取り上げています。このチートシートでは、ドキュメントオブジェクトモデル (DOM) ベースの XSS について説明します。このチートシートは、XSS 対策チートシートの延長であり、その内容の理解を前提としています。 DOM ベースの XSS を理解するには、DOM ベースの XSS と反射型および格納型 XSS との基本的な違いを知る必要があります。最も大きな違いは、攻撃がどこでアプリケーションに挿入されるかです。反射型 XSS と格納型 XSS がサーバー側でのインジェクションの問題であるのに対し、DOM ベースの XSS はクライアント (ブラウザー) 側でのインジェクシ
Cross-Site Scripting (XSS) Cheat Sheet - 2024 Edition | Web Security Academy
Cross-site scripting (XSS) cheat sheet This cross-site scripting (XSS) cheat sheet contains many vectors that can help you bypass WAFs and filters. You can select vectors by the event, tag or browser and a proof of concept is included for every vector. You can download a PDF version of the XSS cheat sheet. This is a PortSwigger Research project. Follow us on Twitter to receive updates. Downloaded
色んなXSS – nootropic.me
2015/4/16(木)：ページの一番下に追記を記述しました。 その昔、なんとかキャンプというセキュリティのイベントに参加した時「アウトプットが大事」と言われたのを思い出しました。 でも、普通自分の見つけた知識は後生大事に抱えておきたいもんだと思います。 そこで今回はそういった何かしょーもないものを捨てるべく、溜め込んだ色んなXSSのPoCを少し書き出してまとめました。 今まで自分で見つけたものや海外のSecurity Researcher達から収集したものもあります。 さて、今回リストアップしたPoCの見方ですがいくつかの項目があります。 一番上の「手法」はタイトルみたいなものだと思って下さい。 二番目の「PoC」はスクリプトを実行する為のコードです。殆どがアラートが出るだけのスクリプトの為危険なコードは無いつもりですがご自分のブラウザで実行する際は自己責任でお願いします。リンクをクリッ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
フロントエンドエンジニアのためのセキュリティ対策 ~XSS編~ / #frontkansai 2019
これからのフロントエンドセキュリティ
84% of all websites are impacted by jQuery XSS vulnerabilities | Snyk
Renamed window.TrustedTypes to window.trustedTypes by koto · Pull Request #205 · w3c/trusted-types
DOM Based XSSの自動検出の話
ウェブサイトの脆弱性届出、大半がクロスサイトスクリプティングで200件超 2019年第3四半期IPA報告
Top Ten Vulnerabilities | HackerOne
Browser's XSS Filter Bypass Cheat Sheet
Excess XSS: A comprehensive tutorial on cross-site scripting