10_weeks_webdev_learninng_5th

第五週

第五週 †

XSS †

前週でXSSについて軽く触れました。
今週はXSSを実行させないための工夫について説明します。

XSS対策の基本は、HTMLとして特殊な意味を持つ文字*1のエスケープ*2です。
HTMLとして特殊な意味を持つ文字には次のようなものがあります。

メタ文字	エスケープ後の表現（＆は半角に直す）
'	＆#39;
"	＆quot;
&	＆amp;
<	＆lt;
>	＆gt;

本講座ではこれ以上は言及しませんが、これらの文字のエスケープのみでは不十分な場合があります。
問題となるケースをいくつか紹介します。

cssやscriptタグの中身を動的に生成する場合
ブラウザに文字コードを明示していない場合
HTMLの属性を共通の引用符（'や"）でくくっていない場合

これらについて興味があれば、「徳丸浩の日記 - XSS - 今こそXSS対策についてまとめよう」などを参照してください
（ページ中に含まれる「XSS対策としてのエスケープが本質だがバリエーションが多い」の1. - 8. までのリンクも併せて読んでみてください）。

なお、phpではhtmlspecialcharsという関数があり、これで上記のメタ文字をエスケープすることができます。
次のphpプログラムの出力を確かめてみてください。

htmlspecialcharsは複数の引数を取ることができます。第一引数のみ必須です。

第一引数(例では$js_code): エスケープ処理したい文字列
第二引数(例ではENT_QUOTES): クオート文字の処理方法の指定(通常はENT_QUOTES)
第三引数(例では'UTF-8'): エスケープ処理したい文字列のエンコーディング

↑

その他のセキュリティ対策 †

本講座で作成するアプリケーションは、「非ログイン状態」かつ「個人情報を扱わない」ので、セキュリティ対策としてXSSのみを扱いました*3。
セキュリティに関してウェブアプリケーション作成者が知らなければならないことは膨大であり、その多くは難解ではないものの、
「対策漏れ」を生み出してしまうことは多々あります。

参考資料などを読み、セキュリティに関する基本的知識を押さえると同時に、セキュリティに関するニュースを追うことが重要です。

↑