脆弱性を利用した攻撃手法（6） --- クロスサイト・スクリプティング（後編）
ポイント ●Webアプリケーションが持つクロスサイト・スクリプティングの脆弱性が利用されると，ユーザーのCookieが詐取されたりする攻撃が成り立つ。 ●Cookie情報の詐取と，ソーシャル・エンジニアリングやフィッシング（詐欺の手口）が組み合わさって，被害に及ぶケースもある ●このような被害を出さないようにするには，開発者は脆弱性の無いWebアプリケーションを開発する必要がある。ユーザーは，フィッシング詐欺などへの対策と同様に，「信頼のおけないリンクはむやみにクリックしない」「不審なURLにはアクセスしない」などの習慣を身につけておく必要がある ◆Cookieは，Webサイトが発行したテキスト・データです。セッション情報や認証情報などが記述されており，ユーザーPCのブラウザに保存されます。基本的に，この情報を利用できるのは発行したWebサイトだけです。 ◆実験用に作った買い物サイト（19
クロスサイトスクリプティング(XSS)とCSRFの違い早分かり - ockeghem(徳丸浩)の日記
昨日の日記で、DK祭りで使われている脆弱性がXSSかCSRFかという問題になった。どうも、XSSとCSRFがごっちゃになっている人もいるように見受けるので、簡単な整理を試みたい。 XSSとCSRFには似た点がある。 どちらも「クロスサイト」という言葉が先頭につく なりすましのようなことが結果としてできる どちらも受動型攻撃である それに対して、もちろん違う点もある。専門家から見れば「似てるも何も、そもそも全然違うものですよ」となるのだろうが、現に混同している人がいるのだから紛らわしい点もあるのだろう。 私思うに、XSSとCSRFの決定的な違いは、以下の点ではないだろうか。 XSSは攻撃スクリプトがブラウザ上で動くが、CSRFはサーバー上で動く このため、XSSでできる悪いことは、すなわちJavaScriptでできることであって、攻撃対象のCookieを盗み出すことが典型例となる。一方、CS
脆弱性を利用した攻撃手法（5） --- クロスサイト・スクリプティング（前編）
ポイント ●Webアプリケーションは，ユーザーに送信するページ（コンテンツ）を動的に作ることができる。この時に，半角＜＞などの特殊文字を適切に処理していないと，クロスサイト・スクリプティングにつながる ●Cookieとは，Webサーバーを訪問した人のコンピュータ（ブラウザ）に，テキスト・データを保存しておく仕組みのこと。認証情報や個人的な情報が入っている場合があるため，攻撃の的になりやすい クロスサイト・スクリプティングは，これまでに紹介してきた他の攻撃手法（ディレクトリ・トラバーサル，OSコマンド・インジェクション，SQLインジェクション）と同様にWebアプリケーションの脆弱性を突く攻撃手法です。ただし，名前の通り，サイトをクロスして（またがって）実行されるため，しくみが複雑になっています。 この連載では，クロスサイト・スクリプティングの例として，ユーザーPCのCookieの内容を詐取す
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
