ユーザ入力で遷移する場合の脆弱性について知りたい

Question

前提・実現したいこと

自社サイトにユーザ入力でページ遷移する機能を作成しています。
ユーザがinputタグに不正な入力を行っていない場合に、オープンリダイレクトなどの脆弱性が発生するか知りたいです。

該当のソースコード

<input type="text" name="text" id="text">
<input type="submit" value="移動" onClick="redirect()">
<script>
function redirect(){
var domain_name = document.getElementById('text').value;
var URL = "https://" + domain_name + ".test31415.com";
window.open(URL, "_blank");
}
</script>

試したこと

inputタグに「www.google.com?a=」などの入力を行うことで任意のページへの遷移を行えました。
「javascript:alert(1)」などは実行できませんでした。
URLクエリからのinputへの入力は行っておりません。
Tabnabbingは認識しております。

Answer 1

HTML,CSS,JavaScriptはブラウザの機能でユーザーが書き換えできるので(保存されるわけではない)
極論、HTML,CSS,JavaScriptでできることはなんでもできます。

「ユーザが不正な入力を行っていない」という前提がある限り、脆弱性の話はできないかと思います。
間違えて入力したのか、意図的に入力したのかは判別不可能です。

Comments

[s5s6]

回答ありがとうございます。
”HTML,CSS,JavaScriptはブラウザの機能でユーザーが書き換えできるので”とのことですが、よくあるコンソールでのSelf-XSSのような書き換えのことでしょうか？自社サイトに該当のソースコードを設置しているのでhtmlの改変などは発生し得ないかと思っています。

"「ユーザが不正な入力を行っていない」という前提がある限り、脆弱性の話はできないかと思います"についてですが、言葉が至らずご迷惑をおかけいたしました。inputに不正な入力を行っていないとの意味合いです。また、マウスクリックを入力と考えることもできますが、一般にリンクを踏むことなどはユーザの入力を考慮せずに脆弱性について議論できるかと思います。

今回の場合特にiframeなどでのjavascript実行などが可能ではないかと疑っております。

[m.ts10806]

自社内なら問題ないという考えは捨てましょう。情報漏えい事件の多くは内部犯です。
ユーザー入力を考慮しないなら議論はできません。
問題が起きるのはユーザー入力です。脆弱性対策は「ユーザー入力を信用しない」という観点で行っていくので、そもそもの前提が脆弱性対策に置かれていません。

[s5s6]

申し訳ありませんが、htmlファイルにアクセスできるのは私のみです。
社員も一人だけです。更新も自宅から、専用端末で行っております。
どのように内部犯が発生し得るのでしょうか？？
ファイル書き換えに言及するのであれば、GoogleやMSは社内に内部犯がいるかもしれないので脆弱だといっていることと何ら変わりありません。今回の質問とは別の観点かと思います。

inputへの不正な入力といった意味合いであることにはご理解いただけたでしょうか？

[m.ts10806]

どんどんあと出しがでてくるので困ってます。
しかし、一人のみでどんな脆弱性を気にしてるんですか？
自分の気持ち次第です。

[s5s6]

管理者が一人のみであった場合、脆弱性を気にしなくてもよいと考えているWEBエンジニアがいることに戦慄します。ユーザーは一人とは限りません。
ご自身の回答について何ら説明が行えていないことについて技術者としての能力を疑います。
申し訳ありませんが、回答が今回の質問の観点とずれているようなのでお控えいただけると幸いです。

[m.ts10806]

「ユーザーが」というと一般的には「経路不明の不特定多数」を指します。
人間に限りません。主人がスマホや仕事に夢中で構ってほしくて邪魔しにきた飼い猫の可能性もあるからです。

[m.ts10806]

前提がずれてる(お話にならない)という指摘なので詳細説明もなにも書いてある通りです。

Answer 2

HTMLやJavaScriptの脆弱性は、そもそも以下の前提で考えます。

1. ブラウザ利用者に悪意はない
2. ブラウザ利用者（被害者）に対して、攻撃を仕掛ける第三者（攻撃者）がいる

このような図式を「受動的攻撃」といいます。

なぜブラウザ利用者に悪意を想定しなくてよいかというと、ブラウザ利用者に悪意があるのであれば、そもそもブラウザを使わずとも、Burp Suiteのようなツールを用いてウェブサーバーに攻撃をすればよいからです。

今回のケースですと、局所的にはオープンリダイレクトがありますが、それは利用者ブラウザのinput要素に遷移先URLをセットしなければなりませんが、それはXSS脆弱性等がないと第三者からはできません。そして、それが可能な脆弱性（XSS等）はオープンリダイレクトよりも影響が大きいので、オープンリダイレクトは「取るに足らない」脆弱性ということになります。

一つ問題があるとすれば、攻撃者が利用者に「何らかの方法」で、対象入力欄に何らかの値を入力するように促し、ボタンを押させるシナリオです。オープンリダイレクトの場合は特に名前はないようですが、同じシナリオでXSSに至る場合は「セルフXSS」と呼ばれます。今回のケースは、いわば「セルフオープンリダイレクト」という感じですね。

仮にオープンリダイレクトのような罠を作っても、それだけでは単独で大きな問題はなく、更に遷移先がフィッシングサイトなどというシナリオは作れるものの、さすがにそれにだまされるのは利用者側の責任が大きいだろう…くらいの評価になると思います。ただ、最終的にその影響度を評価するのはサイト運営者です。

Comments

[s5s6]

window.openについてname要素の衝突でのXSSが可能であった(現在はブラウザが対応済み？)との記事を見てひょっとしたらiframeごしに何か行えるのではと思いました。
回答、感謝いたします。