WebフレームワークXSS対策の自動化
•
3 likes•2,281 views
セキュリティキャンプ中央大会2012 webセキュリティクラス チーム「わく□」 <del>Python / スリッパ</del> @kyubuns / @lmt_swallow
Report
Share
WebフレームワークXSS対策の自動化
- 1. セキュリティキャンプ中央大会2012 webセキュリティコース成果発表 Webフレームワークの XSS対策の自動化 わく□（@kyubuns / @lmt_swallow）
- 3. 現在の問題点 • セキュリティに詳しくない人が脆弱性 のあるサイトを簡単に作れてしまう。 • 文脈を見てエスケープする文字を変更 する必要がある。 • 例えば、HTMLとJSでは別々のエス ケープ処理が必要。
- 5. 特徴 • 文脈に応じて正しいエスケープが自動的に行 われる。 • 例えばHTMLとJSでは違うエスケープ処理が必要。 • フレームワーク自体のコードは変更しない。 • 稼働中のコードに少ない変更で導入できる。
- 9. テンプレート：14行
- 10. Pythonという言語：15行
- 11. たった30行で作れる！
- 14. 実装 • 外部から入力された値は通常の文字列型では なく独自の型として扱う。 • 通常の文字列型との比較演算子を定義して おくことで、いつも通り使える。 • 文字列にキャストする時に自動でエスケー プが走る。
- 15. 実装 • Flaskに渡す前にテンプレートを解析し て、必要なエスケープ処理をテンプ レートに埋め込む。
- 16. 導入手順 • テンプレート自体はそのまま使える。 • テンプレートの読み込みクラスを EnvironmentからFavEnvironmentに変更。 • 入力の取得を before: request.values.get(“name”) #返り値はstring after: favreq(“name”) #返り値はUserInputString に変更。
- 18. App::import(“Controller”,”Sanitize”); class TestController extend SanitizeController { public function index() { //WARNING!!!! $ts = “<script>alert(1)</script>”; $this->set(“test”,$ts); } }
- 19. diff < App::import("Controller","Sanitize"); > class TesterController extends AppController < class TesterController extends SanitizeController
- 20. 実装 • 実装自体は継承元のControllerクラスの setメソッドをオーバーライドしてるだ け。 • 継承するControllerをSanitizeControllerに 変更するだけで使える。