DOM Based XSS - kii's memo

DOM Based XSS

JavaScript側で発生する XSS クロスサイトスクリプティング

対策

DOM Document Object Model操作の適切なAPI呼び出し

HTML HyperText Markup Languageで特別な記号文字をエスケープ Escape

発生箇所

Web Platform App上でJavaScriptによりDOM Document Object Model操作している場所

原因

影響

範囲

Web Platform App全体

内容

Web site サイトでのJavaScript実行

偽情報の表示

例

URLの#以下の部分(フラグメント識別子)を変化すると表示内容が変わるWeb Platform App

htttp.....#<img src=/ onerror=alert(1)>

document.write

XHR XMLHttpRequestのURL Uniform Resource Locators未検証

JavaScriptスキーム