画像ファイルによるクロスサイト・スクリプティング(XSS)傾向と対策
補足 この記事は旧徳丸浩の日記からの転載です（元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2）。 備忘のため転載いたしますが、この記事は2007年12月6日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 補足終わり 最近、画像ファイルを用いたクロスサイト・スクリプティングが注目されている。本稿では、画像を悪用したXSSについて説明した後、対策方法について解説する。 画像によるXSSとはどのようなものか Internet Explorer(IE)の特性として、コンテンツの種類を判別する際に、レスポンスヘッダ内のContent-Typeだけでなく、コンテンツの内容も判断基準にしている。このため、Content-Typeが例えばimage/gif(GIF画像)となっていても、中身がHTMLであればHTMLと解釈して表示する。
JPGファイルを隠ぺいに利用するWebサーバ専用バックドア「BKDR_ZZPEG」の被害を日本で確認 |
「リージョナルトレンドラボ（RTL）」では、新しい Webサーバへの攻撃手法である「BKDR_ZZPEG」の被害が日本国内でも発生していることを確認しました。RTL への問い合わせでは、特に 7月下旬からこの「BKDR_ZZPEG」関連の問い合わせが顕著になっています。この「BKDR_ZZPEG」は、PHP を使用している Webサーバ上でバックドアとして機能する不正プログラムです。特徴的な部分として JPG画像ファイルを自身のコンポーネントの隠ぺいのために利用します。攻撃者はこの不正プログラムを Webサーバへ侵入させることにより、外部から Webサーバを遠隔操作することが可能となります。「BKDR_ZZPEG」はあくまでも Webサーバに対する遠隔操作を実現するバックドア型不正プログラムです。クライアント側で検出されても直接の脅威は無いことに注意してください。 ■Webサーバを狙う新し
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
