ajaxのセキュリティーについて

Question

jpcertの資料に

ajaxでは、攻撃者の用意した悪意あるwebサイトに<script>属性を使用して秘密情報を含むjsonを読み込ませ、javascriptとして解釈させることによりjson内の秘密情報にアクセスする

とゆう危険性が掲載されていたのですが、具体的な攻撃方法までは乗っていなかったため質問させていただきます。

この危険性についてですが、攻撃者はリクエストの際に、リクエストを受けとるサーバのスクリプトを読み込む処理を組み込むのだと思うのですが
レスポンスに機密情報を含まない場合は、サーバ内で読み取ったデータ、もしくはコードを解析される事は無いのでしょうか？(サーバではエラー処理を表示しないものとする)

Comments

[ockeghem]

JPCERTの資料をURLを教えてください

Answer 1

攻撃手法を書いた記事として以下があります。タイトルはvbscriptとありますが、vbscript以外の方法も書いています。

JSONをvbscriptとして読み込ませるJSONハイジャック(CVE-2013-1297)に注意

基本的にどの方法もブラウザ側で対策がとられているので、過度に心配する必要はありません。以下のレスポンスヘッダを出力することが推奨されますが、この攻撃以外にも広く有効なものです。

X-Content-Type-Options: nosniff

レスポンスに機密情報を含まない場合は、サーバ内で読み取ったデータ、もしくはコードを解析される事は無いのでしょうか？

こちらについては、maisumakunから回答がありますが、機密情報が含まれるか含まれないかは、攻撃の成否とは関係ありません。ただ、機密情報がないと、攻撃する意味がないというだけのことです。

Answer 2

「レスポンスに機密情報を含まない場合」＝もともと誰でも見られるもの、ということなので、わざわざ攻撃する価値はありません。

Comments

[HiruLow]

回答ありがとうございます、解りやすく参考になります。