「The Cross Site Scripting FAQ」記事へのコメント

XSSで引き起こされる被害

[Anonymous Coward]

XSSで引き起こされる被害というのは、大きく分けて

• Cookieを盗まれる
• ブラウザのセキュリティホールを突いてクライアントにいらん事される（ファイルを読み出されたり消されたり実行ファイルを突っ込まれたり）

という2種類ですよね。
前者に付いては、要は「Cookieを盗まれても大丈夫」な仕組みにしておけば問題ない。
たとえば、セッションキーをCookieで保持するようにしているのであれば、そのセッションキーを生成する時にクライアントのIPアドレスを含むデータをMD5して作るとかすれば、他のIPアドレスからのセッションハイジャックは検出できる。

Re:XSSで引き起こされる被害

[kei100 (5854)]

＞こうやって考えると、Webページ作成者の責任はごく限られているにも関わらず、
＞「XSS問題は全部Web作成者が責任持って解決すべきだ」とばかりに
＞フォームさえあれば＜S＞hoge＜/S＞とか書いて回るヤツははっきり言ってウザい。
＞更にちょっとでも見つかろうものなら鬼の首でも取ったかのように騒ぎ立てて
＞「○○のサイトは脆弱だ」とか言って回る頭悪そうなヤツもいるし。

それ以外にも、ページの改変を出来ます。

昔、Officeさんが首相官邸のXSS脆弱性を利用した
首相コメント(偽)を見れる

Re:XSSで引き起こされる被害

[jbeef (1278)]

ニュース系サイトや、公的機関のWebPageとかで、ありもしない記事が、 さも*そのサーバー上に存在しているように見える* と言うのは脅威にはならないのでしょうか？

それくらいだと、「たいしたことねえ」という声も出てくるでしょう。が、ページの改変というのは、目に見える文字列だけでなく、FORM要素のACTION属性なども改変できるわけなので、 一件、銀行のログイン画面のように見えて、口座番号と暗証番号を入れると、実は全然違うサイトに送信してしまう、という恐ろしいことが起

Re:XSSで引き起こされる被害

[Anonymous Coward]

「一件、銀行のログイン画面のように見えて、口座番号と暗証番号を入れると、実は全然違うサイトに送信してしまう、という恐ろしいことが起こりえますね。」

銀行などではログイン手続きの時には既にSSLが成立しているのに？というのはそれはさておき。 こんなすぐバレて、追跡し易く、かつ、きっちりと犯罪が成

Re:XSSで引き起こされる被害

[Anonymous Coward]

XSS のテクを使ってクッキーや暗証番号をどこかに送信させる行為は「きっちりと犯罪が成立する」ことなのか?
不正アクセス禁止法には抵触しなさそう?
その暗証番号を使えば不正アクセス禁止法違反なのは当然。
結果的に迷惑を被れば原因を作ったものは全部偽計威力業務妨害なのかな。