OWASP テスティングガイド

OWASP Testing Guide v3.0
攻 撃 者 が URL に「#alert('xss')」という 文 字 列 を 追 加 すると、 実 行 された 場 合 にはアョートペッキシが 表 示 さ
れます。ここで、「#」 以 降 の 文 字 列 はキウヨ 文 字 列 の 一 部邪 としては 扱 わわれず、フョギミヱト 識 別 子婡 の 一 部邪 として 扱 わわれるので、
追 加 されたケードはコーバ 側 には 送 信 されません。この 例 ではケードがすぐに 実 行 され、「XSS」というアョートペッキシが 表
示 されます。ケードがコーバ 側 に 送 信 されてヤーゴ 側 に 表 示 されるような 一 般 的 なキルシコイトシキヨプティヱギ( 永 続 的 、 非
永 続 的 'の 場 合 と 異 なり、この 例 ではヤーゴのブョウゴ 上 ですぐに 実 行 されます。
結 果 として、DOM プーシのキルシコイトシキヨプティヱギの 脆 弱 性 は、キッカーの 取 得 や 不 正 なシキヨプトの 挿 入 などの 良 く 知
られた XSS と 同 じ 危 険 度 として 扱 うべきです。
ブラチクボチクステステとギレーボチクステステとその 例
DOM プーシ XSS のブョッキペッキシテシトは、 一 般 的 に 実 施 されません。これはキョイアヱトに 送 信 されるケードは 常 に 参 照
可 能 であるためです。
ギレーボチクステステとその 例
DOM ベースのクロスサアテスクリプテァンヱギ 脆 弱 性 のテステ:
JavaScript アプヨクーサュヱは、コーバ 上 で 生 成 されるため、 他 のソイプのアプヨクーサュヱと 大 きく 異 なります。そのため、ど
のケードが 実 行 されるかを 理 解 するためには、テシトする Web コイトをキルーヨヱギし、 実 行 される 全 ての JavaScript を 特牐 定
し、どこでヤーゴの 入 力 を 受 け 付 けるかを 特牐 定 する 必 要 があります。 多 くの Web コイトでは 大 量 のョイブョヨ 関 数 に 依 存 し
ており、 数 百 、 数 千 のケード 量 が 追 加 されます。そしてそれらは 社 内 で 開 発 されたものではありません。このようなクーシで
は、 多 くの 場 合 、トップゾウヱのテシトが 唯 一 実 行 可 能 な 手 段 となります。 何 故 ならペトマリプラの 関 数 はほとんど 使 用 され
ないにも 関 らず、それらを 分 析 するには 非 常 に 時 間 が 掛 かるからです。もし 入 力 やそれに 関 連連 した 必 要 なものが 特牐 定 でき
ていなければ、トップゾウヱのテシトにも 同 じことが 言 えます。
ヤーゴの 入 力 の 主 な 形 式 は 次 の 二 種 類 になります8
・コーバによってヘーザに 書 かれるが 直 接 には XSS が 出 来 ない 方 法 で 入 力
・キョイアヱトコイドの JavaScript エブザェキトから 取 得 された 入 力
コーバがデーソを JavaScript に 挿 入 する 方 法 について、ここに 二 つ 例 があります8
var data = "";
var result = someFunction("");
そして、ここに、キョイアヱトコイドの JavaScript エブザェキトからの 入 力 の 例 が 二 つあります8
var data = window.location;
var result = someFunction(window.referer);
JavaScript のケードがどのように 取 得 されるかにについて 小 さな 遊 いはあっても、ここで 重 要 なのは、 入 力 をコーバ 経 由 で 受
け 取 った 際 に、コーバがデーソを 望 むように 置 換 処 理 できるということです。JavaScript エブザェキトを 使 って 置 換 処 理 できる
209