「演算子のインジェクション」と「SSJI」
「演算子のインジェクション」と「SSJI」：NoSQLを使うなら知っておきたいセキュリティの話（1）（2/2 ページ） 2. SSJI（Server Side JavaScript Injection） NoSQLの一部の製品は、クライアントからサーバに送るクエリにスクリプト言語を使用できるようになっています。スクリプト言語は、通常の演算子では表現しきれない複雑な絞り込み条件を表現する、などの用途で使われます。MongoDBにおいては、スクリプト言語としてJavaScriptが使用可能です。 スクリプト言語をサポートするNoSQL製品においては、不適切なプログラミングにより攻撃者が挿入したスクリプトがサーバ側で実行される危険性があります。サーバで実行されるJavaScriptコードに対するインジェクションは、SSJI（Server Side JavaScript Injection）とも呼
Masato Kinugawa Security Blog: U+2028/2029とDOM based XSS
ECMAScriptの仕様では、0x0A/0x0D以外にU+2028/2029の文字も改行とすることが明記されています。 これはあまり知られていないように思います。 以下はアラートを出します。 <script> //[U+2028]alert(1) </script> 知られていないだけでなく、知っていたとしても、スクリプトで文字列を処理するときに、U+2028/2029まで考慮する開発者がどれだけいるのかという話です。 実際、U+2028/2029を放り込むと文字列リテラル内にその文字が生のまま配置され、エラーが出るページは本当にたくさんあります。まあ、エラーがでるだけなら、大抵の場合大きな問題にはなりません。 ところが、U+2028/2029によってXSSが引き起こされてしまう場合というのを最近実際に見ました。 Googleのサービスで見つけた2つのケースを取り上げたいと思います。 ケ
Javascript で暗号化
NSEG 第 40 回勉強会で、mebius こと砂原昌史さんが発表でお使いになったスライドを代理でアップロードしました。
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
