注入されたJavaScriptファイルの参照コードがWebページで実行されないようにするにはどうすればよいですか？

Question

JavaScriptリファレンスファイルのスクリプトをウェブページに挿入するのを防ぐことは可能かどうかはわかりませんが、JavaScriptがページレジスタに登録されていない限り、挿入されたJavaScriptリファレンスファイルスクリプト内で関数を実行できないようなサイトがあります。たとえば、異なるプレフィックスを持つ10種類の異なるJQueryスクリプト（異なるバージョンのもの）をGoogle Mailに注入することはできましたが、特定のJQueryコマンドを実行できないようにする優れた仕事をしています。あなたができることはいくつかありますが、たとえばデータを設定するだけではなく、$ jquery171（ 'html'）.html（）（ページのソースを見るだけです）などがあります。 Google Mailと同じように、他のスクリプトがWebページで実行されないようにするにはどうすればよいですか？誰もこれを前にしたことがありますか？

Answer 1

あなたが話している脆弱性は、Cross-site Scriptingと呼ばれています。要するにXSS。 OWASPのtop ten projectは、Webアプリケーション開発者として認識すべきその他の一般的な攻撃についても紹介します。

XSSからあなた自身のコードを保護するために、ユーザが提出したデータを出力HTMLページに印刷してはなりません。ユーザーデータを印刷するHTML構造のどこに基づいて、コンテキスト依存の方法でデータをエンコードする必要があります。あなた自身のプログラムから来ないすべてのデータは、HTTPヘッダー、URL、クッキー、フォームPOSTデータ、データベースなどの「外部」システムからのデータを含む、信頼できないものとして扱われるべきであることに注意してください。

HTML出力の出力エンコーディングの基本原則をよく理解するには、XSS Prevention cheat sheetを参照してください。

あなたが悪意を持っているかどうかに関わらず、あなたがGoogleに対して行っていることは違法です。 XSSに対するコードの脆弱性を確認するために、部分的な侵入テストを効果的に実行しています。 GMailはこの種のことをあまり気にしないかもしれませんが、悪意のあるスパムのHTMLメールに対処しなければなりません。あなたが説明したものよりはるかに少ないことで、人々は逮捕され、米国で請求されています。

テストする独自のサイトを開発してください。他人のセキュリティをテストする権限はありません。合法的に攻撃を受けることができる環境を提供するために、WebGoatとGruyereのようなプロジェクトを検討することを検討してください。