Re:XSSで引き起こされる被害 (#96623) | The Cross Site Scripting FAQ

「The Cross Site Scripting FAQ」記事へのコメント

記事ページを表示すべてのコメント取得

検索138コメント Log In/Create an Account

XSSで引き起こされる被害 (スコア:1, すばらしい洞察)

by Anonymous Coward
XSSで引き起こされる被害というのは、大きく分けて
- Cookieを盗まれる
- ブラウザのセキュリティホールを突いてクライアントにいらん事される（ファイルを読み出されたり消されたり実行ファイルを突っ込まれたり）
という2種類ですよね。
前者に付いては、要は「Cookieを盗まれても大丈夫」な仕組みにしておけば問題ない。
たとえば、セッションキーをCookieで保持するようにしているのであれば、そのセッションキーを生成する時にクライアントのIPアドレスを含むデータをMD5して作るとかすれば、他のIPアドレスからのセッションハイジャックは検出できる。
- Re:XSSで引き起こされる被害 (スコア:2, 参考になる)
  
  by kei100 (5854)
  
  ＞こうやって考えると、Webページ作成者の責任はごく限られているにも関わらず、
  ＞「XSS問題は全部Web作成者が責任持って解決すべきだ」とばかりに
  ＞フォームさえあれば＜S＞hoge＜/S＞とか書いて回るヤツははっきり言ってウザい。
  ＞更にちょっとでも見つかろうものなら鬼の首でも取ったかのように騒ぎ立てて
  ＞「○○のサイトは脆弱だ」とか言って回る頭悪そうなヤツもいるし。
  
  それ以外にも、ページの改変を出来ます。
  
  昔、Officeさんが首相官邸のXSS脆弱性を利用した
  首相コメント(偽)を見れる
  - Re:XSSで引き起こされる被害 (スコア:2, 参考になる)
    
    by jbeef (1278)
    
    ニュース系サイトや、公的機関のWebPageとかで、ありもしない記事が、さも*そのサーバー上に存在しているように見える* と言うのは脅威にはならないのでしょうか？
    
    それくらいだと、「たいしたことねえ」という声も出てくるでしょう。が、ページの改変というのは、目に見える文字列だけでなく、FORM要素のACTION属性なども改変できるわけなので、一件、銀行のログイン画面のように見えて、口座番号と暗証番号を入れると、実は全然違うサイトに送信してしまう、という恐ろしいことが起
    - Re:XSSで引き起こされる被害 (スコア:0)
      
      by Anonymous Coward
      
      「一件、銀行のログイン画面のように見えて、口座番号と暗証番号を入れると、実は全然違うサイトに送信してしまう、という恐ろしいことが起こりえますね。」
      銀行などではログイン手続きの時には既にSSLが成立しているのに？というのはそれはさておき。こんなすぐバレて、追跡し易く、かつ、きっちりと犯罪が成
      - Re:XSSで引き起こされる被害 (スコア:1)
        
        by jbeef (1278) on 2002年05月23日 11時24分 (#96623) 日記
        
        銀行などではログイン手続きの時には既にSSLが成立しているのに？
        SSLであろうがなかろうが関係ないですね。送信先の別サイトをSSLにもするのもよいでしょうし。
        どうにもなかなか正しく理解されないようですね…。
        
        シェア
        
        親コメント
        
        Re:XSSで引き起こされる被害 (スコア:0)
        
        by Anonymous Coward
        
        > 送信先の別サイトをSSLにもするのもよいでしょうし。
        いっている意味がよくわからないのですが、SSLのX.509認証はなんのためにあるのでしょうか？
        
        Re:XSSで引き起こされる被害 (スコア:1)
        
        by jbeef (1278) on 2002年05月23日 12時26分 (#96652) 日記
        
        いっている意味がよくわからないのですが、SSLのX.509認証はなんのためにあるのでしょうか？
        わからないのならそれはクロスサイトスクリプティング脆弱性の脅威をあなたがまだ理解していないということを意味しています。「FORM要素のACTION属性なども改変できるわけなので」という説明でWeb技術者には理解できると思いますが、「一見、銀行のログイン画面のように見えて」というのは、本物のその銀行のWebページ上にスクリプトが埋め込まれるのですから、X.509認証もへったくれもありません。
        
        シェア
        
        親コメント
        
        Re:XSSで引き起こされる被害 (スコア:0)
        
        by Anonymous Coward
        
        送付先は別サイトなのでは。
        
        Re:XSSで引き起こされる被害 (スコア:1)
        
        by jbeef (1278) on 2002年05月23日 13時19分 (#96700) 日記
        
        送付先は別サイトなのでは。
        送付してから送付先の証明書を確認して、どうだというの？
        
        シェア
        
        親コメント
        
        Re:XSSで引き起こされる被害 (スコア:0)
        
        by Anonymous Coward
        
        警告でませんか？
        
        Re:XSSで引き起こされる被害 (スコア:1)
        
        by jbeef (1278) on 2002年05月23日 13時35分 (#96708) 日記
        
        警告でませんか？
        #96623 [srad.jp] で「送信先の別サイトをSSLにする」って書いたの読めなかった？
        
        シェア
        
        親コメント
        
        Re:XSSで引き起こされる被害 (スコア:0)
        
        by Anonymous Coward
        
        元サイトとX.509証明書は違いますよね？
        
        Re:XSSで引き起こされる被害 (スコア:0)
        
        by Anonymous Coward
        
        SSLはトランスポートレイヤでの処理だからSSLセッションが成立するときはアプリケーションに関係なくX.509証明書を参照しています。あとどうするかは個々のアプリケーションの問題でしょう。もっとも、まともなアプリが多いとは思いませんけど。

より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。

The Cross Site Scripting FAQ More ログイン

「The Cross Site Scripting FAQ」記事へのコメント

XSSで引き起こされる被害 (スコア:1, すばらしい洞察)

Re:XSSで引き起こされる被害 (スコア:2, 参考になる)

Re:XSSで引き起こされる被害 (スコア:2, 参考になる)

Re:XSSで引き起こされる被害 (スコア:0)

Re:XSSで引き起こされる被害 (スコア:1)

Re:XSSで引き起こされる被害 (スコア:0)

Re:XSSで引き起こされる被害 (スコア:1)

Re:XSSで引き起こされる被害 (スコア:0)

Re:XSSで引き起こされる被害 (スコア:1)

Re:XSSで引き起こされる被害 (スコア:0)

Re:XSSで引き起こされる被害 (スコア:1)

Re:XSSで引き起こされる被害 (スコア:0)

Re:XSSで引き起こされる被害 (スコア:0)

スラド