DOM Based XSS対策のChromeの新機能「Trusted Types」を試してみた - 生存報告
先日、Goole Chromeの新機能としてTrusted Typesという機能がアナウンスされました。これは、DOM Based XSSを防ぐために実装された機能です。 https://developers.google.com/web/updates/2019/02/trusted-types 本エントリでは、Trusted Types実際に試して、使い勝手や効果のほどを見てみようと思います。 DOM Based XSS 「DOM Based XSSとは」的な説明は割愛。DOMを更新するときに発生するXSSです。 上のリンクやIPA、OWASPのページなどを見てください。ここではIPAのレポートを紹介しておきます。 https://www.ipa.go.jp/files/000024729.pdf DOM Based XSSの例 DOM Based XSSでalertを上げてみます。以
安全な文字列であると型で検証する Trusted Types について | blog.jxck.io
Intro 脆弱性の原因となる DOM 操作の代表例として elem.innerHTML や location.href などが既に知られている。 こうした操作対象(sink) に対して、文字列ベースの代入処理を行う際に、一律して検証をかけることができれば、脆弱性の発見や防止に役立つだろう。 そこで処理前の文字列に対し、処理後の文字列を安全であるとして明示的に型付ける TrustedTypes という提案がされている。 まだ未解決の部分が多い提案だが、現時点での仕様と実装を元に、このアイデアについて解説する。 WICG/trusted-types Intent to Experiment: Trusted Types Sink XSS などの原因となる DOM 操作として、 DOM に直接文字列を展開する処理がある。 element.innerHTML location.href scri
GitHub - mikewest/tc39-proposal-literals: Literals could be different than non-literals.
HTML's DOM offers a number of mechanisms to turn arbitrary strings into markup (.innerHTML = ...) or code (scriptEl.innerText = ..., el.onclick = ..., etc). Each of these mechanisms can serve as an XSS sink, giving an attacker the ability to feed code into a context that wasn't expecting it, leading to a class of DOM-based XSS attacks that we'd very much like to avoid. One way of addressing this i
Efficient Context-sensitive Output Escaping for Javascript Template Engines
1) The document proposes a method called "context-aware output escaping" to defend against XSS attacks in JavaScript template engines. It uses contextual analysis of the template and applies appropriate filtering rules. 2) It presents an architecture that parses templates to build an AST, then uses context parsers like HTML, CSS, and URI parsers to analyze output contexts. Context-sensitive XSS fi
これからのWebセキュリティ フロントエンド編 #seccamp
Editor's Notes・ChatWork でWebフロントエンドを担当 ブラウザ上で動くScalaを書いてます。 基本的にセキュリティとの関わりは趣味の範疇。MixiさんからAmazonギフト券もらったくらいの経験 ・きっかけは「趣味と実益のスタック破壊」 これは「いかに対象のコード上でバッファオーバーフローやヒープオーバーフローを起こすか」という視点で書かれた文書。非常に面白かった すでにサイトからは消えていてWebArchivesでのみ読める 「セキュリティが趣味になる」ということを知ったのは衝撃だった ・セキュリティ関係での活動はApplicationCache poisoningが主 ApplicationCache poisoningはけっこう昔から一般的に言われていることなので取り立てて言う話ではない DNS関係も好き今までセキュリティとは開発とは別に考えられていた。 現
Secure Escaping method for the age of HTML5 #appsecapac2014
HTML5時代の安全なエスケープ手法 Secure Escaping method for the age of HTML5 Yoshinori TAKESAKO @takesako Cybozu Labs, Inc. about:TAKESAKO OWASP JAPAN Advisory Board 2008: Microsoft MVP "Developer Security" 2011: SC22/ECMAScript (ISO/IEC 16262) 2012: HTML5 technical review (coauthor) 2013: ECMA-262 Edition 5.1 (en2ja) Today's agenda XSS is a threat consistently listed in the OWASP Top 10 1. to prevent
Closure Tools | Google for Developers
Stay organized with collections Save and categorize content based on your preferences. The Closure Compiler compiles JavaScript into compact, high-performance code. The compiler removes dead code and rewrites and minimizes what's left so that it downloads and runs quickly. It also checks syntax, variable references, and types, and warns about common JavaScript pitfalls. These checks and optimizati
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Securing the Tangled Web
GitHub - w3c/trusted-types: A browser API to prevent DOM-Based Cross Site Scripting in modern web applications.
GitHub - google/safe-html-types: Security contract types
Mark Knichel: JavaScript Tools at Scale Using Type Information | JSConf EU 2014