前回：やられアプリ BadTodo - 24.2 NULLバイト攻撃（+SQLインジェクション） - demandosigno 前回と同じ場所で今度はXSSを試します。 入力値 https://todo.example.jp/api/v1/is_valid_id.php?id=hoge%00%3Cscript%3Ealert(%27XSS%27)%3C/script%3E Nullバ…

前回：BadTodo - 10.6 CSRF対策トークンの不備 - demandosigno 今回は XSS を使ってCSRF相当の攻撃を行います。（パスワードの変更） 前回確認したように、CSRF対策としてトークンのチェックが行われます。 トークンは実行ページ直前のページで生成され、セ…

前回：やられアプリ BadTodo - 4.1 XSS（クロスサイト・スクリプティング） - demandosigno 前回XSSでCookieを盗みました。 Cookieの属性の１つにHttpOnlyというものがあります。XSSの緩和策として導入されました。この属性はJavaScriptからCookieの参照・更…

前回：やられアプリ BadTodo - 4.5 XSS マイページ - demandosigno パスワード変更ページ/changepwd.phpのidパラメータにXSSがあります。 https://todo.example.jp/changepwd.php?id=%27%3E%3Cscript%3Ealert(1)%3C/script%3EにアクセスさせることでXSSが発…

前回：やられアプリ BadTodo - 4.4 XSS（Todoの削除） - demandosigno プロフィール画面（マイページ）を開いた際に/profile.phpに続いて流れるリクエスト https://todo.example.jp/resize.php?path=icons&basename=ockeghem.png&size=64のpathとbasenameパ…

前回：やられアプリ BadTodo - 4.7 XSS（対策方法） - demandosigno Todoリストの編集画面において、URLの欄にjavascript:alert(document.cookie)と記入して保存します。 その後に誰かがそのリンクをクリックするとXSSが発動します。 HTML上は入力値がそのま…

前回：やられアプリ BadTodo - 4.3 XSS（ID毎のTodo一覧画面） - demandosigno Todoを削除するときのリクエスト POST /editlist.php のパラメータprocessにXSSがあります。 ZAPでの検出例。 まだ他にもありますので引き続き探していきます。 次回：やられア…

前回：やられアプリ BadTodo - 4.2 XSS（ログイン画面で） - demandosigno 引き続きXSSについて。今回はTodoリストのIDをクリックした際に遷移する「ID毎のTodo一覧画面」について。 パラメータidにXSSがあります。 https://todo.example.jp/todolist.php?id…

前回：やられアプリ BadTodo - 4.6 XSS パスワード変更ページ - demandosigno やはり「安全なウェブサイトの作り方 - 1.5 クロスサイト・スクリプティング | 情報セキュリティ | IPA 独立行政法人 情報処理推進機構」の「対策について」が規範となります。 …

前回：やられアプリ BadTodo - 4.1.1 XSS 対策方法（HttpOnly属性の付与） - demandosigno ログインページでのXSS（Docker版 Ver 1.1.0） 実習用仮想マシン（Docker版 Ver 1.1.0） *1ではログイン時のパラメータurlに次のようにスクリプトを仕込むことでXSS…

前回：やられアプリ BadTodo - 3.3 SQLインジェクション DB情報の取得 - demandosigno 今回はXSSを試してみます。 Bad Todoの検索窓に「test」と入力し、検索ボタンをクリックしてみます。 リクエストはGET /todolist.php?rnd=64b73aa18a681&key=testである…

安全なウェブサイトの作り方：IPA 独立行政法人 情報処理推進機構P.22「1.5 クロスサイト・スクリプティング」参照 検索のキーワードの表示画面や個人情報登録時の確認画面、掲示板、ウェブのログ統計画面等、利用者からの入力内容や HTTP ヘッダの情報を処…

安全なウェブサイトの作り方：IPA 独立行政法人 情報処理推進機構P.22「1.5 クロスサイト・スクリプティング」参照 検索のキーワードの表示画面や個人情報登録時の確認画面、掲示板、ウェブのログ統計画面等、利用者からの入力内容や HTTP ヘッダの情報を処…