SPA開発とセキュリティ - DOM based XSSを引き起こすインジェクションのVue, React, Angularにおける解説と対策 - Flatt Security Blog

2022/04/07 22 users React angular Vue インジェクション 解説

Vue.js logo: ©︎ Evan You (CC BY-NC-SA 4.0 with extra conditions(It’s OK to use logo in technical articles for educational purposes)) / React logo: ©︎ Meta Platforms, Inc. (CC BY 4.0) / Angular logo: ©︎ Google (CC BY 4.0) はじめに こんにちは。株式会社Flatt Securityセキュリティエンジニアの森(@ei01241)... 続きを読む

Masato Kinugawa Security Blog: 正規表現にユーザ入力を使っていることに起因するDOM based XSS

2018/01/15 89 users 正規表現 XSS SQLインジェクション 通り 興味

お久しぶりです＆あけましておめでとうございます。昨年はブログを書く時間をうまく作ることができず、あまり記事を書けませんでした。今年はできるだけ月に1回程度何か書いていきたいと思っています。今年もよろしくお願いします！ さて、ブログを書かなかった間にXSSからSQLインジェクションへ興味が移った、なんてことはありませんでしたので、今日もいつも通り大好きなXSSの話をしたいと思います！ 最近、正規表現... 続きを読む

mXSS - Mutation-based Cross-Site-Scripting のはなし - 葉っぱ日記

2014/05/08 83 users innerHTML 亜種 DOMツリー DOM構造 はなし

ここ数年、XSS業界の最先端で盛り上がっている話題として mXSS というものがあります。mXSS - Mutation-based XSS とは、例えば innerHTML などを経由してすでに構築されているDOMツリーを参照したときに、本来のDOM構造とは異なる結果を得てしまい、そのためにHTML構造の破壊を引き起こすという類のDOM based XSSの亜種とも言えます。mXSSに関しては以... 続きを読む

HTML5時代の「新しいセキュリティ・エチケット」（3）：知っていれば恐くない、XMLHttpRequestによるXSSへの対応方法 (1/2) - ＠IT

2014/03/17 210 users XMLHttpRequest ネットエージェント XSS

HTML5時代の「新しいセキュリティ・エチケット」（3）：知っていれば恐くない、XMLHttpRequestによるXSSへの対応方法 (1/2) 皆さんこんにちは。ネットエージェントのはせがわようすけです。前回は、同一オリジンポリシーを突破する攻撃の代表的事例であるXSSについて、特にDOM based XSSと呼ばれるものについて解説しました。今回はその続きとして、XMLHttpRequestに... 続きを読む

Masato Kinugawa Security Blog: U+2028/2029とDOM based XSS

2013/09/17 124 users alert script アラート 改行 スクリプト

2013/09/17 U+2028/2029とDOM based XSS ECMAScriptの仕様では、0x0A/0x0D以外にU+2028/2029の文字も改行とすることが明記されています。 これはあまり知られていないように思います。 以下はアラートを出します。 <script> //[U+2028]alert(1) </script> 知られていないだけでなく、知っていたとしても、スクリプト... 続きを読む

情報処理推進機構：IPA テクニカルウォッチ：『DOM Based XSS』に関するレポート

2013/01/29 109 users IPA テクニカルウォッチ レポート 情報処理推進機構 一正

IPA（独立行政法人情報処理推進機構、理事長：藤江 一正）は、IPAに届け出られる「DOM Based XSS」の脆弱性に関する届出が2012年後半から増加していることを踏まえ、それらの情報を分析して当該脆弱性の概要や対策のポイントをまとめた技術レポート（IPAテクニカルウォッチ 第13回）を公開しました。 IPAに多くの届出があるクロスサイト・スクリプティング（XSS）の脆弱性ですが、2012年... 続きを読む

IPAから『DOM Based XSS』に関するレポート出ました | 徳丸浩の日記

2013/01/29 55 users IPA 拙著 徳丸浩 目次 IPA テクニカルウォッチ

2013年1月29日火曜日 IPAから『DOM Based XSS』に関するレポート出ました DOM Based XSSに関しては、IPA「安全なウェブサイトの作り方」でも、拙著でもごく簡単にしか触れておらず、まとまった解説が要望されていましたが、本日（2013年1月29日）にIPAから「IPA テクニカルウォッチ『DOM Based XSS』に関するレポート」が公開されました。 同冊子の目次は下... 続きを読む