新生鳩丸掲示板♯

※広告や宣伝の書き込みはご遠慮ください。

題名 :

名前 :

本文 : >>任意の属性が設定可能なのはどの程度危険ですか? > >XSS脆弱性が存在することを意味しています。src属性やhref属性は当たり前として。onclick属性以外には安直に思いつくのがstyle属性です。これ、ユーザの操作が必要なさそうなので。onload属性やonunload属性も。onouseover属性あたりはonclick属性よりも危険度が高いでしょうか。じゃぁonFOO属性全部禁止する！とか思っても、dynsrc属性やlowsrc属性が待ち構えているかもです。ネスケ4あたりですとsize属性などでもスクリプト起動が出来ていたみたいです。 >最近びっくりしたのがOperaなんですが、 ><META HTTP-EQUIV="Link" Content="<http://example.com/xss.css>; REL=stylesheet"> >というのです。これ、知らなんだです。従来知られているのは ><META HTTP-EQUIV="refresh" CONTENT="0;url=javascript:alert('XSS');"> >あたりでしょうか。url属性にdata:スキームで直書きするテクもあるみたいです。 >はてなで先頃話題になったのは、table要素のbackground属性です。 >object要素のdata属性でもスクリプトが… > >まだまだたくさんありますが、上記ネタ元の >http://ha.ckers.org/xss.html >あたりを見てください。 >一番笑ったのがnemespace属性で拡張子.htcなファイルを呼び出すものです。 > >というわけで、属性の追加が可能だということは、極めて危険だと思います。