JavaScript:element.setAttributeしたときの、HTMLはどうなっているか？
実験用コード： <form onsubmit="return false;"> <b>input_text:</b><br /> <textarea id="input-text" rows="4" cols="80"> ">Hello!</textarea><br /> 例）">Hello!<br /> <input type="button" value="実行" onclick="runTest_setAttribute_outerHTML();" /><br /> </form> <br /> <b>element.setAttribute("title", input_text)のouterHTML：</b><br /> <textarea id="output-html" rows="4" cols="80"> ここにデータ出力 </textarea><br
JavaScript:document.createTextNodeをappendChildしたときの、HTMLはどうなっているか？
JavaScript:document.createTextNodeをappendChildしたときの、HTMLはどうなっているか？ イントロダクション JavaScript にて、「DOM Based XSS」の脆弱性を埋め込むのを防ぐためには、document.write や element.innerHTML などを使うのではなく、以下のように DOM 操作用メソッドを使用すると良いとされています。 入力されたテキストをブラウザのドキュメントに表示： element.appendChild(document.createTextNode(input_text)); input_text : 入力されたテキスト element : テキストを追加する親要素(element オブジェクト) このとき、テキストを追加した親要素の HTML が、入力されたテキストによってどうなるのか気になり
セキュリティ対策：JavaScriptでHTML操作をする人は必読！IPAテクニカルウォッチ 『DOM Based XSS』に関するレポート
セキュリティ対策：JavaScriptでHTML操作をする人は必読！IPAテクニカルウォッチ 『DOM Based XSS』に関するレポート イントロダクション 誰でも手軽に使えて便利な JavaScript ですが、書き方を間違えると重大なセキュリティ上の問題（脆弱性）を引き起こしてしまいます。 そんな JavaScript を使ったプログラムの脆弱性の中でも、うっかり作りこんでしまいがちなのが、「DOM Based XSS」ではないでしょうか？ DOM Based XSS は、JavaScript を使用して、ブラウザで表示している HTML 構造に手を加えるときに埋め込んでしまいがちな脆弱性です。 例えば、ブラウザで表示している画面を、document.write や element.innerHTML などで書き換えていませんか？ （それら以外にも、危険なメソッド・プロパティはあり
mXSS - Mutation-based Cross-Site-Scripting のはなし - 葉っぱ日記
ここ数年、XSS業界の最先端で盛り上がっている話題として mXSS というものがあります。mXSS - Mutation-based XSS とは、例えば innerHTML などを経由してすでに構築されているDOMツリーを参照したときに、本来のDOM構造とは異なる結果を得てしまい、そのためにHTML構造の破壊を引き起こすという類のDOM based XSSの亜種とも言えます。 mXSSに関しては以下の資料などが参考になります。 The innerHTML Apocalypse mXSS Attacks: Attacking well-secured Web-Applications by using innerHTML Mutations どちらの資料にも掲載されていますが、mXSSのきっかけとなったのは 「教科書に載らないWebアプリケーションセキュリティ（1）：［これはひどい］IEの
見習いバグハンターのセキュリティブログ: Amazon.co.jpにあったXSSの脆弱性が修正されました
2014年11月7日金曜日 Amazon.co.jpにあったXSSの脆弱性が修正されました Amazonの脆弱性を見つけてAmazonギフト券をゲットするという夢がある— らまっこ (@llamakko_cafe) 2014, 10月 17 早速夢を叶えるべくAmazon.co.jpの脆弱性を探すことに。 数分後…。 うける— らまっこ (@llamakko_cafe) 2014, 10月 17 見つけちゃいました。 この間4分。 見つけた脆弱性はXSSです。 以下そのXSSの脆弱性の解説です。 今回は例としてこのURLを使用します。 http://www.amazon.co.jp/%E3%83%A4%E3%82%AC%E3%82%A4-%E3%81%8A%E3%82%84%E3%81%A4%E3%82%AB%E3%83%AB%E3%83%91%E3%82%B9-50%E6%
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
