dom based xss の発見と駆除と予防について - 'ashula.info概要 JavaScript を介した XSS である DOM based XSS の Opera の UserJS による発見と対策について． 前提 ある程度の個人情報を登録しているユーザを抱えているサービスの開発者などが対象です． DOM based XSS がなにかについては，OWASP DOM Based XSSを参照して下さい． 脅威 同一ドメインでユーザ情報の変更フォームがあると，第三者にその情報を奪取されます． 別ドメインでも，CORS が設定されてると抜かれる可能性があります． その他，ユーザの秘密情報に対する攻撃が行われます． 場合によっては，他のサービスに対するDDoS の踏み台としてユーザのリソースが消費されます． 発見 とりあえず，xss.js を UserJS として飼います． 見事 alert(2) が出れば任意の要素が突っ込まれる穴があるのは確定． alert(
