クロスサイトスクリプティング対策 ホンキのキホン - 葉っぱ日記

本稿はCodeZineに2015年12月28日に掲載された記事の再掲となります。 クロスサイトスクリプティング(XSS)は、古くから存在し開発者にもっともよく知られたセキュリティ上の問題のひとつでありながら、OWASP Top 10でも2010年に引き続き2013年でも3位と、未だに根絶できていない脆弱性です。 本記事では、Webアプリケーションの開発においてXSSを根絶するために必要な対策の基本を本気でお伝えします。 はじめに OWASPでは開発者に向けたセキュリティ対策のためのドキュメントやチートシートを多数用意しており、XSSへの対策としても「XSS (Cross Site Scripting) Prevention Cheat Sheet」というドキュメントが用意されています。 ただし、このXSS Prevention Cheat Sheetはシンプルなルールを定めたチートシートで

[gologo13]

テキストノードに出力する際の「<」「>」のエスケープ漏れ 属性値に出力する際の「"」「'」のエスケープ漏れ URLをリンクとして取り扱う際のプロトコルスキームの確認漏れ

[bleu-bleut]

ユーザの入力値を、1. テキストノードで出力、2. 属性値として出力、3. リンク先のURLとして出力する際に、エスケープ忘れ、http or https以外のスキームを許容しないようにすること。

[razokulover]

いい基本まとめ

[teppeis]

サーバーサイドXSSの基本的な解説

[junjiblg]

勉強になった！

[glat_design]

参考に /

[monday4692]

]

[digitalglm]

クロスサイトスクリプティング対策 ホンキのキホン - 葉っぱ日記: 本稿は CodeZineに2015年12月28日に掲載された記事 の再掲となります。…