「IEのXSSバグで任意サイトのCookieが漏洩」記事へのコメント

showModalDialog対策

[airhead (13423)]

まあ普段からscriptやActiveXはoffにしていたりするのですけれど、onにする場合もあります。んで、念のためという意味で。Proxomitronのdefault.cfgに入っていたものをちょっと書き換えただけなんですけど、以下のようなフィルタは有効でしょうか？ 無効だとすれば、それはどういう状況下でしょうか？

Name = "Stop showModalDialog()"
Active = TRUE
Limit = 256
Match = "<start>"
Replace = "<!--//--><script>"
                    "function showModalDialog(){return true;}"

Re:showModalDialog対策

[Anonymous Coward]

無効だとすれば、それはどういう状況下でしょうか？

とりあえずwindow.open().showModalDialog()されるとダメ

Re:showModalDialog対策

[airhead (13423)]

あ、ごめんなさい。はしょりすぎました。

サーバからくるページにおいて外部JSを読み込まないとか、"showModalDialog"などの文字列をreplaceするフィルタと併用しての話でした。で、スクリプトで変換された文字列から復元して実行するようなものだとフィルタを素通りするので、

<script>function showModalDialog(){return true;}</script>

でshowModalDialog()メソッドを自体をdisableにするフィルタと併用するのがよかろう、と思ったのですが、

完全にdisableなのか、何らかの方法で再びenableにされる可能性はあるのか、との疑問が。どうなんでしょうか？

Re:showModalDialog対策

[Anonymous Coward]

"showModalDialog"等の文字列をreplaceするフィルタは貴方が言った通り文字列を変換する事で、
function showModalDialog(){return true;}は先に書いたように新しいwindow objectを生成し
そのshowModalDialog()メソッドを呼ぶことで事で回避できます

Re:showModalDialog対策

[airhead (13423)]

> 新しいwindow objectを生成し
> そのshowModalDialog()メソッドを呼ぶことで事で回避できます

なるほど、そのwindowオブジェクト生成部分さえも隠してしまうとどうしようもない、と。私の考えが浅かったですね。指摘感謝。