あまり知られていない脆弱性：DOM Based XSSにご用心｜アークウェブのブログ

こんにちは、SEの進地です。 XSS（Cross Site Scripting）脆弱性の中であまり注意を払われていないタイプにDOM Based XSSというものがあります。アナウンス自体は随分と昔から行われており、webappsec.orgでも2005/7/4にAmit Klein氏が"DOM Based Cross Site Scripting or XSS of the Third Kind"を発表しています。 Web 2.0的アプリなどでのAjaxの普及でJavaScriptが多用される現在のWeb開発では、DOM Based XSSが入り込む可能性は従来よりも高まっています。そこで、今回はこのDOM Based XSSについて説明しようと思います。 DOM Based XSSとは何か？ 一般的にXSS脆弱性と聞いて思い浮かべるのは、攻撃者の悪意ある入力データ（JavaScript

[rokujyouhitoma]

DOM Based XSS

[tak-arumakan]

対象サイト上に攻撃スクリプトを生に埋め込めなくても、パラメータ付きURLを被害者にアクセスさせることによってXSSは起動できる

[konfoo]

XSS

[moronbee]

DOM Based XSS

[raimon49]

DOM Based XSS　クライアントサイドで完結するXSS

[zvonimir3]

ark-web は今後チェック。

[cubed-l]

どこが出力を行っているかが異なるだけで基本的な対策は変わらない

[ockeghem]

「DOM Based XSSに対する包括的な対策、体系的な対策は残念ながらありません」<基本に忠実に、たとえばJavaScriptによるHTMLエスケープなどで対応すべきもの

[nilab]

あまり知られていない脆弱性：DOM Based XSSにご用心 : アークウェブ ビジネスブログ