UnicodeによるXSSとSQLインジェクションの可能性

Unicode による XSS と SQL インジェクションの可能性 HASH サルティング株式会社徳丸　浩

横浜でちっちゃな会社やってます

Web アプリが専門ですが、色々やります

WAF について書いたりしています

文字コード = 文字集合 + 文字エンコーディング

文字エンコーディングネタは結構ある ,[object Object],[object Object],[object Object],[object Object],[object Object],しかし

文字集合って何 ? 文字通り，文字の集まりもじもじ

特にやばそうなところ (*1) US-ASCII は 7 ビットのコードなので，最上位ビットを無視する結果， 0x25 すなわち「 % 」として扱われる (*2) 中黒（なかぐろ） 0x5C 0xA5 US-ASCII % (*1) JIS X 0201 ¥ ･ (*2) ISO-8859-1 ¥ Unicode ¥

文字集合を変換すると ?

多対一の変換が起こるかどうかは実装依存 ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],注目 10 万超の文字を変換して確認するだけの簡単なお仕事です

U+00A5 による SQL インジェクション (MySQL+JDBC) エスケープ（ ' -> ' ' ） Unicode -> EUC-JP

U+00A5 による SQL インジェクション (MySQL+JDBC)

U+00A5 -> 0x5C の変換による XSS はあり得る

が， JavaScript を動的生成する場合などに限られる

現実的に発生し得るが

そもそも JavaScript の動的生成ってどうよ orz

SQL Server の例 ,[object Object],[object Object],[object Object],[object Object]

CP932 と断定していいのか ?

非 Unicode への変換が起こっていることは確かだが CP932 と断定できない orz

SQL Server の例 ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]

これをどう活用するか

悪影響の例 :CSS の XSS 対策

XSS 対策が回避されるパターン ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]

対策 ,[object Object],[object Object],[object Object],[object Object]

対策 ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]

第 5 回～第 6 回の 5 回で文字コード説明します

ご清聴ありがとうございました

UnicodeによるXSSとSQLインジェクションの可能性

Recomendados

Recomendados

Mais conteúdo relacionado

Mais procurados

Mais procurados (20)

Destaque

Destaque (20)

Semelhante a UnicodeによるXSSとSQLインジェクションの可能性

Semelhante a UnicodeによるXSSとSQLインジェクションの可能性 (10)

Mais de Hiroshi Tokumaru

Mais de Hiroshi Tokumaru (20)

Último

Último (12)