ウェブアプリのセキュリティ - XSSの脆弱性

攻撃シナリオ

1. 攻撃者は、被害者が利用しているウェブサイト（例えば銀行のウェブサイト）にXSS脆弱性があることを突き止める。
2. 被害者は現在このページにログインしている
3. 攻撃者は被害者に細工したURLを送る。
4. 被害者はURLをクリックする。
5. 被害者の 銀行 ウェブサイトをご覧ください、 JavaScript コード ユーザーのデータを傍受したり、ユーザーの代わりに攻撃者の口座に送金を実行するために実行を開始する。

被害者に代わって実行される操作は、銀行のAPIを使ってバックグラウンドで行われるため、被害者には見えないかもしれないし、攻撃者が認証に必要なデータ、トークン、クッキーなどを使って後で実行するかもしれないことは注目に値する。

XSSタイプ

1.反射型XSS

これは、任意のパラメータ（GET、POST、クッキーなど）に含まれるHTML/JavaScriptコードがレスポンスに表示されるものです。

何かを検索するためのテキスト入力を持つページ。 検索=フー をURLの末尾に入力する。任意のフレーズを入力した後、それが見つからない場合は、HTML ex.にリターン・メッセージが配置される。

<div>の結果は見つかりませんでした。 <b>フー</b></div>

URLを入れてみよう ?search=。..

2.DOM XSS

これは、JavaScriptの以下のような危険な関数の使用によって、その実行が可能になった場合である。 評価 または `innerHtml`.以下の「ライブ例」は、DOM XSS 攻撃を `innerHtml` 関数である。

3.保存型XSS

これは、悪意のあるコードがサーバー側に書き込まれるものだ。例えば、サーバーにアップロードされたブログ記事に悪意のあるコードを含むコメントを送ることがある。そのタスクは、例えば、管理者のモデレーションを待ち、その後、管理者のセッションデータなどを盗むことである。

注入方法

1.タグの内容

onerror=alert('XSS')`。に

<img src onerror="alert('XSS')" />

2.属性の内容

onmouseover=alert('XSS')`」。 に

<div class="" onmouseover="alert('XSS')""></div>

3. 引用符を除いた属性の内容

x onclick=alert('XSS')に

<div class="x" onclick="alert('XSS')"></div>

4. の中で href = "/stock/stock_detail.html?ef属性

javascript:alert('XSS') に

<a href="javascript:alert('XSS')"></a>

5. JavaScriptコード内の文字列

";alert('XSS')// に

。

6. JavaScriptイベントを持つアトリビュートでは

');alert('XSS')// どこ #39； はシングルクォートである。

<div onclick="change('&#39;);alert('XSS')//')">ジョン</div>

7. の中で href = "/stock/stock_detail.html? 属性は、JavaScriptプロトコルの内部で

);alert(1)//。 どこ %27 はシングルクォートである。

<a href="javascript:change('');alert(1)//')">クリック</a>




実例

防衛方法

1. 多くの組み込み関数を使用したデータエンコーディング プログラミング言語.
2. 自動エンコーディングのテンプレートシステムを使う。このようなシステムを使う一般的なフレームワークのほとんどは、XSS インジェクションから私たちを守ってくれます (Django, Templates、 VueReactなど）。
3. のような関数は使用しないでください。 評価 または 機能 信頼されていないユーザーデータで
4. HTMLコードをDOMツリー要素に直接割り当てる関数やプロパティは使用しないでください、 インナーHTML, アウターHTML, 挿入隣接HTML, ドキュメント.write.代わりに、これらの要素に直接テキストを割り当てる関数を使用できます。 テキストコンテンツ または インナーテキスト.
5. ユーザーを自分の管理下にあるURLにリダイレクトさせる場合は注意が必要です。インジェクションのリスク location = 'javascript('XSS')'.
6. などのライブラリを使用してHTMLをフィルタリングする。 DOMピュリファイ.
7. アップロードは慎重に .html または .svg ファイルをアップロードすることができます。アップロードされたファイルを提供する別のドメインを作成できます。
8. を使用する。 コンテンツ・セキュリティ・ポリシー というメカニズムだ。
9. ほとんどの一般的なブラウザに組み込まれているアンチXSSフィルターを見てみましょう。

   この記事に興味を持たれた方は、Githubでルカシュをフォローしてください： https://github.com/twistezo

続きを読む

NextJSのデータフェッチ戦略

Rails APIとCORS。意識

なぜ（おそらく）Typescriptを使うべきなのか？