XSS再入門

1K Views

August 25, 13

#security #Cross-Site Scripting #JavaScript #Same-Origin Policy #Web Security #XSS

スライド概要

XSSの初心者向け説明です。初心者向けだけど、きっちり理解したい方向け…

徳丸浩

@ockeghem

スライド一覧

徳丸本の中の人 OWASP Japanアドバイザリーボード EGセキュアソリューションズ取締役CTO IPA非常勤職員 YouTubeチャンネル: 徳丸浩のウェブセキュリティ講座 https://j.mp/web-sec-study

またはPlayer版

埋め込む »CMSなどでJSが使えない場合

（ダウンロード不可）

関連スライド

SPAセキュリティ超入門

security php javascript

徳丸浩 789.3K

SPAセキュリティ入門～PHP Conference Japan 2021

security

徳丸浩 383.5K

ウェブセキュリティのありがちな誤解を解説する

security php

徳丸浩 60.1K

ウェブセキュリティの知識は普及しているか、徳丸本の著者が憂慮していること

security

徳丸浩 45.2K

オニギリペイのセキュリティ事故に学ぶ安全なサービスの構築法

security

徳丸浩 32.2K

SSRF対策としてAmazonから発表されたIMDSv2の効果と破り方

security aws

徳丸浩 32.1K

各ページのテキスト

クロスサイトスクリプティング再入門 HASHコンサルティング株式会社徳丸浩 twitter id: @ockeghem

典型的なXSSサンプルに対する「素朴な疑問」 • クッキーの値がアラートで表示されても、特に危険性はないような気がする • クッキーの値はブラウザのアドオンなどでも表示できるよね • 任意のJavaScriptが実行されると言っても、ホームページ作れば任意のJavaScriptが書けるし、見た人のブラウザで実行されるよね… Copyright © 2013 HASH Consulting Corp. 4

そもそもの疑問：JavaScriptは危険か? • 実は、JavaScriptの実行自体は危険ではない • Webは、未知の（ひょっとすると悪意のある?）サイトを訪問しても「悪いこと」が起きないように設計されている • JavaScriptの「サンドボックス」による保護 – JavaScriptからローカルファイルにアクセスできない – JavaScriptからクリップボードの値にアクセスできない – ブラウザにはファイルアップロードの機能があるが、JavaScriptで任意ファイルをアップロードはできない – JavaScriptからプリンタに印刷することはできない（印刷ダイアログを表示することはできる） Copyright © 2013 HASH Consulting Corp. 5

10.

11.

[beta]

Gmailを別タブに開いてHTMLを読み出す罠
新しいWindowを開
いて、そこにGmail
を表示させる

<html>
<head>
<script>
var newWin = window.open(
'https://mail.google.com/mail/u/0/#inbox', 'subwin');
setTimeout(function() {
alert(newWin.document.documentElement.innerHTML);
}, 3000);
</script>
</head>
<body>
Gmailのロードを待っ
こんにちは
て（3秒想定）、Gmail
</body>
のHTMLを表示
</html>

Copyright © 2013 HASH Consulting Corp.

11

12.

13.

14.

15.

16.

同一生成元ポリシー(Same-Origin Policy; SOP)とは • オリジン = スキーム、ホスト、ポート番号の組み合わせ • これらがすべて同じ場合、同一生成元(Same Origin)であるという – http と https は異なるスキームすなわち別オリジンとなる • JavaScriptによるプロパティへのアクセス等は同一生成元に対してのみ許可される • XMLHttpRequestによるオブジェクトアクセスは、同一生成元の場合無条件に許可される – 異なる生成元に対するアクセスは、CORS(Cross-Origin Resource Sharing)により可能 Copyright © 2013 HASH Consulting Corp. 16

17.

18.

19.

20.

http://very.evil-site.biz/

21.

http://very.evil-site.biz/

22.

23.

要素内容の場合 <div>○○○○○○</div> 要素内容の終端マークは < < を用いて要素内容を終わらせスクリプトを注入! <div>○○○○○○<script>alert(1)</script></div> 対策は < を < にエスケープする & → & エスケープも必須通常は、 < > & をエスケープしますね Copyright © 2013 HASH Consulting Corp. 23

24.

属性値の場合 <input value="○○○○○○"> 属性値の終端マークは " " を用いてスクリプトを注入! <input value="○○○○○○"><script>alert(1)</script>"> 対策は " を " にエスケープする & → & エスケープも必須通常は、 < > & " をエスケープしますね Copyright © 2013 HASH Consulting Corp. 24

25.

JavaScriptの場合 init("○○○○○○"); 文字列リテラルの終端マークは " " を用いてスクリプトを注入! init("○○○○○○");alert(document.cookie);//"); 対策は " を ¥" にエスケープする（"ではない） ¥ → ¥¥ エスケープも必須属性値に書く場合は上記をさらにHTMLエスケープする Copyright © 2013 HASH Consulting Corp. 25

26.

27.

28.

29.

参考文献(2) DOM base XSSに関する体系的な説明として貴重な参考資料です http://www.ipa.go.jp/about/technicalwatch/20130129.html 29

http://www.ipa.go.jp/about/technicalwatch/20130129.html

30.

31.

まとめ • ブラウザには、サンドボックス、同一生成元ポリシー(SOP)などの保護機能がある • SOPの保護機能により、正規サイトと「怪しいサイト」はアクセスが遮断されている • XSSは、SOPの保護機能の元で、正規サイトの情報に、「怪しいサイト」からアクセスできる（これはアプリケーションの脆弱性） • XSSがあると、ワナサイトを閲覧した利用者の個人情報が漏洩 – あるいは「なりすまし犯行予告」の書き込みをさせることも… • XSS対策の基本は、「終端」となる記号の文脈に応じたエスケープ • でも、色々ややこしいので参考文献で勉強を • みなさん、よく言っておきますが、ウェブアプリの脆弱性の中で、 XSSが一番難しいですよ! Copyright © 2013 HASH Consulting Corp. 31

XSS再入門

徳丸 浩

関連スライド

SPAセキュリティ超入門

SPAセキュリティ入門～PHP Conference Japan 2021

ウェブセキュリティのありがちな誤解を解説する

ウェブセキュリティの知識は普及しているか、徳丸本の著者が憂慮していること

オニギリペイのセキュリティ事故に学ぶ安全なサービスの構築法

SSRF対策としてAmazonから発表されたIMDSv2の効果と破り方

各ページのテキスト

徳丸浩