フォームからの入力によるXSS対策として、エスケープさせる特殊文字は「<」と「>」だけでは不十分なのでしょうか？

Question

ユーザーがマークダウンで投稿できる簡易なメモアプリを作成しました。
XSS対策として、「<」と「>」を「<」と「>」に変換する処理を追加しました。
何故この二つかと言うと、htmlであれ、scriptであれ、この二つをエスケープすればそのコード自体を無効化できると思ったからです。
ところが、特殊文字はこれ以外にも、以下のようなものがあるかと思います。

& --> &
< --> &lt;
> --> &gt;
" --> &quot;
' --> &#x27;
/ --> &#x2F;

果たして「<」と「>」だけでは足りず、頻繁に見かける上記６種類をエスケープする必要があるのでしょうか？
調べてもしっくりとする答えが見つからなかったので質問させて頂きました。
何か知っている方がいましたら、どんな意見でも構いませんので、頂けると幸いです。よろしくお願いします。

Comments

[ockeghem]

JavaScriptタグがついていますが、サーバー上でもJavaScriptなのでしょうか。サーバー側の言語やフレームワークを示していただけると、より良い回答ができると思います。

Answer 1

IPA

既存の回答通りですが、IPA 独立行政法人 情報処理推進機構がXSS対策に触れていますので、一読をお勧めします。

エスケープ対象

果たして「<」と「>」だけでは足りず、頻繁に見かける上記６種類をエスケープする必要があるのでしょうか？

「<」、「>」、「&」は必ずエスケープしますが、属性値を括る文字列は属性値限定でエスケープが必要です。
(属性値が「'」で括られているのなら、「'」をエスケープする必要があります)

• 1.5.1 HTML テキストの入力を許可しない場合の対策 - 安全なウェブサイトの作り方 第7版 (pdf)

ウェブページを構成する要素として、ウェブページの本文や HTML タグの属性値等に相当する全ての出力要素にエスケープ処理を行います。
エスケープ処理には、ウェブページの表示に影響する特別な記号文字（「<」、「>」、「&」等）を、HTML エンティティ（「<」、「>」、「&」等）に置換する方法があります。
また、HTML タグを出力する場合は、その属性値を必ず「"」（ダブルクォート）で括るようにします。そして、「"」で括られた属性値に含まれる「"」を、HTML エンティティ「"」にエスケープします。

※IPAでは触れていませんが、IEにはバッククォートを属性値の引用符として扱う仕様が存在しています。

• IE 属性値 バッククォート - Google 検索

エスケープのタイミング

私の作成したアプリでは、データベース保存時にエスケープをしていて、

データベースに格納された文字も「外部から来る文字」ですので、信用してはいけません。
HTMLエスケープはHTML出力する直前に行うものです。

• 1.5.1 HTML テキストの入力を許可しない場合の対策 - 安全なウェブサイトの作り方 第7版 (pdf)

脆弱性防止の観点からエスケープ処理が必須となるのは、外部からウェブアプリケーションに渡さ

れる「入力値」の文字列や、データベースやファイルから読み込んだ文字列、その他、何らかの文字列
を演算によって生成した文字列等です。しかし、必須であるか不必要であるかによらず、テキストとして
出力するすべてに対してエスケープ処理を施すよう、一貫したコーディングをすることで、対策漏れ17を
防止することができます。

---

「/」以外の５種類全てをエスケープしてしまうと、マークダウンによるコードの表示が出来なくなってしまうからです。

markdown文字列のparse時にはエスケープする必要はありません。
HTMLに変換するタイミングでHTMLエスケープを行います。

1. markdownからHTMLへの変換処理
2. 入力されたHTML文字列を出力文字列に変換する処理(※HTML入力を受け付けるmarkdownの場合)

Re: wsdwe さん

Answer 2

・テキストノードの部分にのみ出力する
・&は表示できなくて良い
ということであれば、<と>の2つでいいかと思います。

&を表示したいならば、&のエスケープが必要です。
HTMLノードの属性部分の引用符の中に出力する場合は、引用符のエスケープが必要です。

普通は、エスケープ処理をする専用関数を使って「値を出力する場合は常にエスケープする関数を呼び出す」という使い方をしますので、上記のような色んなケースにも対応できる機能をエスケープする関数が持っています。

/は、XSSとは関係ないですね。

Comments

[退会済みユーザー]

さっそくのアドバイスありがとうございます。
私の作成したアプリでは、データベース保存時にエスケープをしていて、
「/」以外の５種類全てをエスケープしてしまうと、マークダウンによるコードの表示が出来なくなってしまうからです。
もちろんパターンによりけりだと思うのですが、「'」と「"」と「&」はエスケープしないと重大なセキリュリティ上のもんだになったりするのでしょうか？

[otn]

> 私の作成したアプリでは、データベース保存時にエスケープをしていて、

それは間違ってますね。
表示の時にエスケープするのが正しいやり方です。

> もちろんパターンによりけりだと思うのですが、「'」と「"」と「&」はエスケープしないと重大なセキリュリティ上のもんだになったりするのでしょうか？

回答に書いたとおりですが、再度聞くと言うことは、何かわかりにくい部分がありましたか？

Answer 3

ユーザーの入力値がどこに出力されるかによります。
< と " と ' を正しくエスケープしていればかなり防げます。（URLエンコードでの入力も考慮して）

１）タグ内の文字列に出力される場合 < が入力できないようにする

<p>XSS</p>
↓
<p><script>alert(0)</script></p>

２）属性値に使用される場合 " が入力できないようにする

<img name="XSS" src="a.jpg">
↓
<img name="" onload="alert(0)" src="a.jpg">

３）JavsScriptコード内の文字列として出力される場合 ' または " が入力できないようにする

<script>
a = 'XSS';
</script>
↓
<script>
a = '';alert(0)//';
</script>

４）JavsScriptコード内のその他の部分に出力される場合、状況によるが基本NG

<script>
XSS = 'test';
</script>
↓
<script>
aler(0);// = 'test';
</script>

５）URLとして出力される場合、http:やhttps:から始まるもの以外は入力できないようにする
（※XSSではないが信頼できないドメインへのリンクもNG）

<a href="XSS">LINK</a>
↓
<a href="javascript:alert(0);">LINK</a>

Comments

[ockeghem]

3)のパターンは以下の状況でXSS攻撃できますね。

<script>
a = '</script><script>alert(0);//';
</script>