XSS対策:JavaScriptなどのエスケープ - ockeghem's blog
昨日の日記に対して、id:ikepyonさんからトラックバックを頂戴した。内容はそちら(Tipsと考え方とXSS対策)を読んでいただくとして、興味深いテーマなので少し突っ込んでみたい。 # 日によって「です・ます」で書いたり、「だ・である」で書いているのは気分の問題なので、あまり気にしないでいただきたい Tipsだけでなく、物事の本質を見極め、何が危険で、何が安全なのかということを考える必要があると思う。 昨日の記事は、(一般的な)XSS対策として、どの文字をエスケープするのが「本質的」だったかを考えたかったのであって、あれをTipsととらえると確かに失敗する。 JavaScriptのスクリプトなどが入っている場合も昨日と同じ方法論で考えることは可能である。まずはこれを検討してみよう。 スクリプトがonXXXのイベントハンドラとして記述されている場合 この場合は、HTMLタグの属性値として
jQuery MobileにXSSの脆弱性が見つかったのでアルファ版からベータ版に変更する際の注意点
jQuery MobileにXSSの脆弱性が見つかったのでアルファ版からベータ版に変更する際の注意点 jQuery Mobileのベータ版が公開されました。夏ぐらいに正式版がリリースされるらしく待ち遠しいですね。 ただ、残念なことにこれまで公開されていたjQuery Mobileのアルファ版にXSSの脆弱性が見つかった為、これまでにjQuery Mobileで作成されたサイトは早急にベータ版にアップデートする必要があります。 アルファ版の挙動を維持したままベータ版にアップデートするには次のように記述する必要があります。 <meta name="viewport" content="width=device-width, initial-scale=1,minimum-scale=1, maximum-scale=1"> <link rel="stylesheet" href="http:/
MS、XSSの脆弱性検出ツールを無償公開
「XSSDetect」はWebアプリケーションのクロスサイトスクリプティング（XSS）の脆弱性を検出できる。 米Microsoftは、Webアプリケーションのクロスサイトスクリプティング（XSS）の脆弱性を検出できる新ツール「XSSDetect」β版の無償提供を開始した。 Microsoftによると、XSSDetectはエンタープライズ向けの「Code Analysis Tool for .NET」（CAT.NET）コードベースの簡易版で、Visual Studioのプラグインとして実行される。 コンパイルされたマネージドアセンブリ（C#、Visual Basic .NET、J#）をスキャンして、データフローパスを分析できるほか、データに適切なエンコーディングやフィルタリングが施されているかどうかも判別できる。 Visual Studio 2005と.NET Framework 2.0に対
情報処理推進機構：情報セキュリティ：脆弱性対策：安全なウェブサイトの作り方
「安全なウェブサイトの作り方」は、IPAが届出(*1)を受けた脆弱性関連情報を基に、届出件数の多かった脆弱性や攻撃による影響度が大きい脆弱性を取り上げ、ウェブサイト開発者や運営者が適切なセキュリティを考慮したウェブサイトを作成するための資料です。 「安全なウェブサイトの作り方」改訂第7版の内容 第1章では、「ウェブアプリケーションのセキュリティ実装」として、SQLインジェクション 、OSコマンド・インジェクション やクロスサイト・スクリプティング 等11種類の脆弱性を取り上げ、それぞれの脆弱性で発生しうる脅威や特に注意が必要なウェブサイトの特徴等を解説し、脆弱性の原因そのものをなくす根本的な解決策、攻撃による影響の低減を期待できる対策を示しています。 第2章では、「ウェブサイトの安全性向上のための取り組み」として、ウェブサーバの運用に関する対策やウェブサイトにおけるパスワードの取扱いに関す
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Security1-2. クロスサイトスクリプティング
