不特定多数がページ上で任意のJavascript等を実行できるページは危険でしょうか？

Question

想定してみたサイトページ

１．テキストエリアにユーザーが文字を入力できます。
２．「実行」というボタンを押すと、テキストエリア内の文字をJavascriptで取得して、「エスケープ処理をせずに」ページ内に挿入・表示します。

// html
<textarea id="user-text">ここにユーザーは文字を入力</textarea>
<button id="action">実行</button>

//jQuery
$('#action').click(function(){ //実行をクリックしたとき
  var user_text = $('#user-text').val(); //textarea内のvalueを取得
  $('#user-text').after('<div>'+ user_text + '</div>'); //ユーザーの入力した値をエスケープせずにdiv要素として挿入・表示
});

疑問点

不特定多数のユーザーが入力した値をDBに保存した後、表示するときにエスケープなどの適切な処理を行わないと脆弱性になるという認識はあります。

また、私は今まで、ユーザーがテキストエリアに入力した値をJavascript等でその場で画面に再表示するときにはエスケープ処理を行い、ユーザー側が書き込んだJavascriptなどは実行されないようにしていましたが、ふと、この場合のエスケープ処理にどのくらい意味があるのだろうと気になりました。

ページ上で任意のJavascriptを実行されるとどのような危険があるのかがわかれば、とても勉強になると思い、質問いたしました。

どなたかお分かりになる方がいらっしゃいましたら、お教えいただけましたら幸いです。

Answer 1

この種の問題はセルフXSSと呼ばれています。名前がついているくらいですから、ある程度は知られている問題ということです。「セルフ」とついているのは、外部からは攻撃経路がなく、利用者自身が攻撃コードを入力する必要があるからです。そんな馬鹿なことがあるかと思われるかもしれませんが、巧妙な罠で誘導して攻撃コードをコピペさせる手口が知られています。興味があれば「セルフXSS」で検索してみてください。

有名なところでは、Facebookの事例があります。こちらは入力欄ではなく、ブラウザの開発者ツールから攻撃コードを入力させるもので、アプリケーションの脆弱性とは言えませんが、Facebookを開いた状態でブラウザの開発者ツールのConsoleを開くと、大きな字で以下のような注意が表示されます。

また、過去のXSS事例も検索で見つけることができます。以下はその例です。

マイクロソフトの「Dynamics CRM」に「セルフXSS」の脆弱性 - ZDNet Japan
はてなブログにあったセルフXSS 脆弱性"&'<<>\ Advent Calendar 2014 (19日目) - ooooooo_qの日記

一方で、「これは本当にアプリケーションの脆弱性なのか」という意見もあり、IPAはセルフXSSを脆弱性届け出の対象外として明記しています。

1. 攻撃者自身しか攻撃できないクロスサイト・スクリプティング（Self XSS）の届出

【中略】
問題を悪用するには、被害者自身がスクリプトを入力する必要があり、攻撃者は第三者に対してスクリプトを実行させることはできません。IPA では、このような手順でのみ再現する問題を Self XSS と判断しています。
Self XSS のような第三者を攻撃できない手法では、本ガイドラインの「脆弱性」の定義にある「コンピュータ不正アクセスやコンピュータウイルス等の攻撃」に該当しないと判断しています。また、攻撃者が被害者を騙し被害者自身にスクリプトを入力させるような手法も該当しないと判断しています。そのため、本パートナーシップにおいては、取扱対象外となります。
脆弱性関連情報として取り扱えない場合の考え方の解説：IPA 独立行政法人 情報処理推進機構 より引用

ということで、脆弱性の一種ではあるものの、攻撃経路が詐欺行為などしかない場合は、脆弱性として取り扱わない場合や、許容する場合もあるというのが結論です。

Comments

[yayak]

こんなにもわかりやすくてためになる回答は、なかなかお目にかかることはできないなと思ってベストアンサーに選ばせて頂きました。
本当にありがとうございます。
心より感謝申し上げます。ockeghem様には感謝しきれません。。

[hjkiy]

ほかの方も回答していますし、それに対する感謝の言葉は一切なんですかね

[BlueRayi]

他者を煽り、また暴言を吐いたことへの当然の帰結として山ほど低評価を受けたからといって、質問者に八つ当たりするような幼稚な真似はやめましょう。
teratailは技術的な質問と回答を行うサイトでありコミュニケーションサイトではありませんので、回答者へのお礼は、もちろんあればよりよいでしょうが、別に義務でもありません。
そもそも、少なくともあなたに礼節を説かれる謂れはないと思います。
ところで、質問およびほぼすべての回答に低評価が「1ずつ」入っているようですが、これは邪推でしょうか?

Answer 2

JavaScriptコードを実行できるのが、そのJavaScriptコードを入力したクライアントだけであるなら、とくに危険はないと思います。ブラウザの開発者ツールのコンソールでJavaScriptコードを実行するのと同じことです。

JavaScriptコードがサーバ側に保存され、他のクライアントでも実行できるならいわゆる XSS なので、XSS の危険性を調べるとよいかと。

Comments

[yayak]

ブラウザの開発者ツールのコンソールでJavaScriptコードを実行するのと同じだったのですね、、もっと勉強します！有難うございます。

Answer 3

たとえば保持したパスワードを別のページに送るとかできそうですね

Comments

[hjkiy]

自分の保持したパスワードを送っても意味はないでしょうｗ
あなた本当にプロでしょうか？ｗ

Answer 4

安心してください。
自分の画面に出力するだけで第三者が読み込むことはできません
「evalは使うな、危険だ」のバカの一つ覚えのように言ってる奴はこれと同じで全く理解できていないだけです。
そんな奴は死んだ方がいいと思っています。

Comments

[Zuishin]

> 自分の画面に出力するだけで第三者が読み込むことはできません

かつて YouTube のコメント機能を使って他者にスクリプトを実行させた事件がありました。
これに限らず、不特定多数の人が不特定多数の書き込んだものを見ることができるサービスなど、いくらでもあります。

eval を使うと必ず危険なわけではありませんが、安全だと信じ込んでいる人が使うと危険ですから、使わないようにしてください。

[Zuishin]

あなたが知っているかはわかりませんが、MDN という開発者に有名なサイトがあります。
そこにはこう書かれています。

https://developer.mozilla.org/ja/docs/Web/JavaScript/Reference/Global_Objects/eval

> Warning: 文字列から JavaScript を実行することは、非常に大きなセキュリティリスクを伴います。eval() を使用すると、悪意のある者が任意のコードを実行することがあまりにも簡単になります。下記の eval() を使わないでください!を参照してください。