今回から3回にわたって,ratproxyが検出するぜい弱性のうち特徴的なものについて説明しましょう。前回挙げた(1)~(6)のぜい弱性のうち(1)Content-TypeやCharset指定の誤り,(2)write()などのJavaScript関数,(3)JavaScript Hijack/JSON Hijackの3種類を取り上げます。ここでは,ratproxyの挙動面だけではなく,ぜい弱性自体に関する技術的な内容についても説明をしますので,当面ratproxyを使用する予定がない方も参考にしていただければと思います。 まず今回は,(1)のContent-Type指定の誤り(XSSの危険性)です。 HTTPレスポンスには,通常「Content-Type: text/html; charset=UTF-8」といったレスポンス・ヘッダーが付けられます。このヘッダーは,「返信されるコンテンツがH