UnicodeによるXSSとSQLインジェクションの可能性

Unicode による XSS と SQL インジェクションの可能性 HASH サルティング株式会社徳丸　浩

横浜でちっちゃな会社やってます

Web アプリが専門ですが、色々やります

WAF について書いたりしています

文字コード = 文字集合 + 文字エンコーディング

文字エンコーディングネタは結構ある ,[object Object],[object Object],[object Object],[object Object],[object Object],しかし

文字集合って何 ? 文字通り，文字の集まりもじもじ

特にやばそうなところ (*1) US-ASCII は 7 ビットのコードなので，最上位ビットを無視する結果， 0x25 すなわち「 % 」として扱われる (*2) 中黒（なかぐろ） 0x5C 0xA5 US-ASCII % (*1) JIS X 0201 ¥ ･ (*2) ISO-8859-1 ¥ Unicode ¥

文字集合を変換すると ?

多対一の変換が起こるかどうかは実装依存 ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],注目 10 万超の文字を変換して確認するだけの簡単なお仕事です

U+00A5 による SQL インジェクション (MySQL+JDBC) エスケープ（ ' -> ' ' ） Unicode -> EUC-JP

U+00A5 による SQL インジェクション (MySQL+JDBC)

U+00A5 -> 0x5C の変換による XSS はあり得る

が， JavaScript を動的生成する場合などに限られる

現実的に発生し得るが

そもそも JavaScript の動的生成ってどうよ orz

SQL Server の例 ,[object Object],[object Object],[object Object],[object Object]

CP932 と断定していいのか ?

非 Unicode への変換が起こっていることは確かだが CP932 と断定できない orz

SQL Server の例 ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]

これをどう活用するか

悪影響の例 :CSS の XSS 対策

XSS 対策が回避されるパターン ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]

対策 ,[object Object],[object Object],[object Object],[object Object]

対策 ,[object Object],[object Object],[object Object],[object Object],[object Object],[object Object]

第 5 回～第 6 回の 5 回で文字コード説明します

ご清聴ありがとうございました

UnicodeによるXSSとSQLインジェクションの可能性

Empfohlen

Empfohlen

Weitere ähnliche Inhalte

Was ist angesagt?

Was ist angesagt? (20)

Andere mochten auch

Andere mochten auch (20)

Ähnlich wie UnicodeによるXSSとSQLインジェクションの可能性

Ähnlich wie UnicodeによるXSSとSQLインジェクションの可能性 (10)

Mehr von Hiroshi Tokumaru

Mehr von Hiroshi Tokumaru (20)

Kürzlich hochgeladen

Kürzlich hochgeladen (8)