ヤフーにおけるインプットバリデーション「何も信じるな」 (Yahoo! JAPAN Tech Blog)
ヤフー株式会社は、2023年10月1日にLINEヤフー株式会社になりました。LINEヤフー株式会社の新しいブログはこちらです。LINEヤフー Tech Blog こんにちは、R＆D統括本部 開発推進室 セキュリティプラットフォーム技術 セキュリティスペシャリストの戸田 薫です。 今回は、私たちが普段からヤフーのシステムに対する入力にどのような注意を払っているのか、そのいくつかをご紹介致します。 入力とは? Webサイトを運営している場合、どのような入力があるでしょうか？ たとえば、Webサービスには、以下の入力があります。 Cookie URL GET/POSTのデータ ファイルのアップロード その他リクエストヘッダ そのほかにもいくつもあります。 環境変数 設定ファイル クローラが取得したデータ パートナー企業のAPIから取得したデータ（XMLやJSONなど） パートナー企業の入稿用 F
第3回 Web 2.0で事態が悪化
前回ではWeb 2.0の興隆とともに，JavaScriptが多用され，使用をできないようにするととたんに，Webが使い物にならなくなる現状が，脅威を生んでいることを示した。今回は，RSSといった新しい技術や，ユーザーからの情報公開といったWeb 2.0の特徴がさらに火に油を注ぐことになることを示す。 RSS，ATOMのリーダー・ソフトなど新しいアプリケーションの台頭は，ブラウザ以外にもJavaScript実行環境が増えることにほかならない。 RSSやATOMのリーダー・ソフトは本来，最新情報のリストを表示するための仕組み。JavaScriptを解釈する必要はない。しかし多くが，Internet Explorerなど既存のソフトのコンポーネントを使用してリストを表示しているため，JavaScriptを解釈してしまうケースがある。 実際，無償で配布されているRSSリーダーのいくつかでXSSのぜ
13. $_SERVER['PHP_SELF']とXSS脆弱性
皆さんは同じスクリプトへのリンクを貼る時、どの様に記述していますか？ $_SERVER['PHP_SELF']を用いることがあるのではないでしょうか。これを直接用 いることは危険です。なぜならば、$_SERVER['PHP_SELF']にはクロスサイト・ス クリプティング（XSS）脆弱性が存在するからです。 $_SERVER['PHP_SELF']はしばしば次のように使われます。 <form method="post" action="<?php echo $_SERVER['PHP_SELF'] ?>"> このページ（ここではhttp:/www.example.jp/example.php）へ下記の様にリンク を貼り、クリックしてみて下さい。 <a href="http://www.example.jp/ example.php/%22%3E%3Cscript%3Ealert(%27XS
あまり知られていない脆弱性：DOM Based XSSにご用心｜アークウェブのブログ
こんにちは、SEの進地です。 XSS（Cross Site Scripting）脆弱性の中であまり注意を払われていないタイプにDOM Based XSSというものがあります。アナウンス自体は随分と昔から行われており、webappsec.orgでも2005/7/4にAmit Klein氏が"DOM Based Cross Site Scripting or XSS of the Third Kind"を発表しています。 Web 2.0的アプリなどでのAjaxの普及でJavaScriptが多用される現在のWeb開発では、DOM Based XSSが入り込む可能性は従来よりも高まっています。そこで、今回はこのDOM Based XSSについて説明しようと思います。 DOM Based XSSとは何か？ 一般的にXSS脆弱性と聞いて思い浮かべるのは、攻撃者の悪意ある入力データ（JavaScript
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
PCIDSSセミナー（2008年7月17日）レポート SCS住商情報システム株式会社
