情報処理試験問題に学ぶJavaScriptのXSS対策

指摘事項A中の(a)は、他を見なくても「セキュア」属性だと分かりますね。徳丸本（体系的に学ぶ 安全なWebアプリケーションの作り方）では、4.8.2クッキーのセキュア属性不備(P209)に説明があります。 指摘事項Bは、ここだけ読むと、XSSのようでもあり、サーバーサイドのスクリプトインジェクションのようでもありますが、検査ログからXSSであることがわかります（下図はIPAからの引用）。XSSは、徳丸本4.3.1クロスサイトスクリプティング（基本編）と4.3.2クロスサイトスクリプティング（発展編）にて説明しています。 ここまでは、ごく基本的な問題ですが、問題文P6に出てくる以下の部分は、少しだけひねってますね。 このプログラムは、利用者が入力した文字列をダイアログに表示するために、受け取ったパラメタの値をスクリプトに埋め込み、動的にスクリプトを生成する。図4の( c )行目では

[coppieee]

そもそもテンプレートエンジン使わずに自前でhtmlを生成してることが間違いのような。JavaScriptを動的に生成するとか危険すぎる。

[lepton9]

escape

[nanakoso]

ことほど左様に専門化ですら間違ってしまうほどＪａｖａＳｃｒｉｐｔの動的生成は危険だということで

[YaSuYuKi]

JavaScriptの動的生成は、事故が起こりやすすぎる……SQL動的生成と並んで避けたい

[invent]

情報処理試験問題に学ぶJavaScriptのXSS対策 | 徳丸浩の日記

[tak4hir0]

情報処理試験問題に学ぶJavaScriptのXSS対策 | 徳丸浩の日記

[asuka0801]

本来セキュリティスペシャリスト試験の問題のようなJavaScript動的生成サイトは設計時点で難ありと評価されるべきなんだけどねぇ…

[SiroKuro]

こうしてみると自分がセキュリティ受かったことが奇跡のようだ。

[mumincacao]

すくりぷとに値を埋め込むのはほんと漏れが出やすいから理解して無いひとにはきけんがあぶないのです・・・ それにしても情報処理技術者試験でも http://t.co/dT7vRHEM 使わないんだ・・・ （・ｘ【みかん

[hiroshi_revolution]

情報処理試験問題に学ぶJavaScriptのXSS対策 | 徳丸浩の日記

[ockeghem]

日記書いた（宣伝も）