回答編集履歴
3
対策
answer
CHANGED
|
@@ -25,4 +25,11 @@
|
|
|
25
25
|
|
|
26
26
|
※繰り返しになりますが、「**分からない単語でWeb検索する**」は調査の基本なので、覚えておくと良いと思います。
|
|
27
27
|
|
|
28
|
+
### 対策
|
|
29
|
+
|
|
30
|
+
IPAが資料を用意しています。
|
|
31
|
+
次のページの [エコーバック対策] > [スクリプト注入] を参照して下さい。
|
|
32
|
+
|
|
33
|
+
- [IPA セキュア・プログラミング講座：Webアプリケーション編](https://www.ipa.go.jp/security/awareness/vendor/programmingv2/web.html)
|
|
34
|
+
|
|
28
35
|
Re: super1234 さん
|
2
\(2017/07/05 11:41追記\)
answer
CHANGED
|
@@ -17,7 +17,7 @@
|
|
|
17
17
|
というわけで、HTMLインジェクションとXSSは別概念です。
|
|
18
18
|
HTMLインジェクションの方が広義といえます(下記に訂正文有)。
|
|
19
19
|
|
|
20
|
-
**(2017/
|
|
20
|
+
**(2017/07/05 11:41追記)**
|
|
21
21
|
CWE-79ではインジェクションする言語に Flash, ActiveX を含んでいました。「HTMLインジェクションがXSSの広義」は誤りでしたので訂正致します。
|
|
22
22
|
|
|
23
23
|
- [クロスサイトスクリプティング - Wikipedia](https://ja.wikipedia.org/wiki/%E3%82%AF%E3%83%AD%E3%82%B9%E3%82%B5%E3%82%A4%E3%83%88%E3%82%B9%E3%82%AF%E3%83%AA%E3%83%97%E3%83%86%E3%82%A3%E3%83%B3%E3%82%B0#.E3.82.A4.E3.83.B3.E3.82.B8.E3.82.A7.E3.82.AF.E3.82.B7.E3.83.A7.E3.83.B3.E3.81.99.E3.82.8B.E8.A8.80.E8.AA.9E)
|
1
「HTMLインジェクションがXSSの広義」は間違い
answer
CHANGED
|
@@ -15,8 +15,14 @@
|
|
|
15
15
|
> ここで、よく耳にする**クロスサイトスクリプティング（以下XSS）**という言葉との関連について確認しておきたい。XSSとは、HTMLインジェクション脆弱性を利用した攻撃手法の一形態である。攻撃者に用意されたスクリプトが、攻撃者のサイトを踏んだユーザーから目的のサイトへ送られるために、スクリプトがサイトをまたがって（クロスして）実行されるという意味でその名が付いている。しかし、スクリプトがサイトをまたがるかどうかは、この脆弱性の性質とは直接関係がない。また、スクリプトがサイトをまたがない形のスクリプトインジェクションや、スクリプトを使わないフレームインジェクションなどは、XSSの定義からは外れてしまう。よって、ここではこの種の脆弱性を総称して、HTMLインジェクションという呼び方をする（図2）。
|
|
16
16
|
|
|
17
17
|
というわけで、HTMLインジェクションとXSSは別概念です。
|
|
18
|
-
HTMLインジェクションの方が広義といえます。
|
|
18
|
+
HTMLインジェクションの方が広義といえます(下記に訂正文有)。
|
|
19
19
|
|
|
20
|
+
**(2017/06/05 11:41追記)**
|
|
21
|
+
CWE-79ではインジェクションする言語に Flash, ActiveX を含んでいました。「HTMLインジェクションがXSSの広義」は誤りでしたので訂正致します。
|
|
22
|
+
|
|
23
|
+
- [クロスサイトスクリプティング - Wikipedia](https://ja.wikipedia.org/wiki/%E3%82%AF%E3%83%AD%E3%82%B9%E3%82%B5%E3%82%A4%E3%83%88%E3%82%B9%E3%82%AF%E3%83%AA%E3%83%97%E3%83%86%E3%82%A3%E3%83%B3%E3%82%B0#.E3.82.A4.E3.83.B3.E3.82.B8.E3.82.A7.E3.82.AF.E3.82.B7.E3.83.A7.E3.83.B3.E3.81.99.E3.82.8B.E8.A8.80.E8.AA.9E)
|
|
24
|
+
- [CWE-79](http://jvndb.jvn.jp/ja/cwe/CWE-79.html)
|
|
25
|
+
|
|
20
26
|
※繰り返しになりますが、「**分からない単語でWeb検索する**」は調査の基本なので、覚えておくと良いと思います。
|
|
21
27
|
|
|
22
28
|
Re: super1234 さん
|