結構頑張ってalert出したXSSだったので紹介します。ちなみに修正されてから公開しているのでここに書いてある方法を今試しても再現しません。あしからず。
今回は、Flashを使い罠ページにアクセスしてきたユーザの外部サイト上のデータを取得することが出来た話について書きます。
本検証は4月末には終了していたのですが諸事情により情報の公開が遅れてしまいました。
日本語での情報がありませんでしたが攻撃が成功すると割りと危険であることが分かったのでまとめました。
新入生の方とそれを指導される方、新社会人の方とそれを指導される方お疲れ様です。
今回はイベントの書き方によっては想定外のドメインからCookieの読み込みなどが出来てしまうことを確認出来たのでそのことについて書きたいと思います。
その昔、なんとかキャンプというセキュリティのイベントに参加した時「アウトプットが大事」と言われたのを思い出しました。
でも、普通自分の見つけた知識は後生大事に抱えておきたいもんだと思います。
ES6では、新たにQuasi-Literalsが使えるようになりました。
ファイルアップローダーのファイル名の出力箇所はエスケープしなくても良いか?
確かにWindowsではファイル名に「\\、/、:、*、?、"、< 、>、_」といった文字を使うのを禁止しておりこれらの文字列が使えない状況でXSSを引き起こすのはほぼ無理でしょう。
Continue ファイルアップローダーのファイル名の出力箇所はエスケープしなくても良いか?
一部のタグの使用をユーザに許可しているサイトでもjavascriptスキームを許可しているサイトは中々ありません。
何故なら以下のように記述することでJavaScriptが実行されてしまうからです。