DOM ベース XSS 対策チートシート

name_string

<script>
var x = ‘<%= taintedVar %>’;
var d = document.createElement(‘div’);
d.innerHTML = x;
document.body.appendChild(d);
</script>

element.innerHTML = “<HTML> Tags and markup”;
element.outerHTML = “<HTML> Tags and markup”;

document.write(“<HTML> Tags and markup”);
document.writeln(“<HTML> Tags and markup”);

element.innerHTML = “<%=Encoder.encodeForJS(Encoder.encodeForHTML(untrustedData))%>”;
element.outerHTML = “<%=Encoder.encodeForJS(Encoder.encodeForHTML(untrustedData))%>”;

document.write(“<%=Encoder.encodeForJS(Encoder.encodeForHTML(untrustedData))%>”);
document.writeln(“<%=Encoder.encodeForJS(Encoder.encodeForHTML(untrustedData))%>”);

var x = document.createElement(“input”);
x.setAttribute(“name”, “company_name”);
// 次のコード行で companyName は信頼できないユーザー入力を表します。
// Encoder.encodeForHTMLAttr() は不要です。使用すると、二重エンコードになります。
x.setAttribute(“value”, ‘<%=Encoder.encodeForJS(Encoder.encodeForHTMLAttr(companyName))%>’); 
var form1 = document.forms[0];
form1.appendChild(x);

var x = document.createElement(“input”);
x.setAttribute(“name”, “company_name”);
x.setAttribute(“value”, ‘<%=Encoder.encodeForJS(companyName)%>’);
var form1 = document.forms[0];
form1.appendChild(x);

var x = document.createElement("a");
x.href="#”;
// 下のコード行で、右側のエンコードされたデータ (setAttribute の第 2 引数) は
// 適切に JavaScript エンコードされているのに実行される、信頼できないデータの例です。
x.setAttribute("onclick", "\u0061\u006c\u0065\u0072\u0074\u0028\u0032\u0032\u0029");
var y = document.createTextNode("Click To Test");
x.appendChild(y);
document.body.appendChild(x);

   <a id="bb" href="#"> Test Me</a>

           //次のコードは、イベントハンドラーが文字列に設定されているため機能しません。"alert(7)" が JavaScript エンコードされています。
           document.getElementById("bb").onclick = "\u0061\u006c\u0065\u0072\u0074\u0028\u0037\u0029";
           
           //次のコードは、イベントハンドラーが文字列に設定されているため機能しません。
           document.getElementById("bb").onmouseover = "testIt";

           //次のコードは、"(" と ")" がエンコードされているため機能しません。"alert(77)" が JavaScript エンコードされています。
           document.getElementById("bb").onmouseover = \u0061\u006c\u0065\u0072\u0074\u0028\u0037\u0037\u0029;

           //次のコードは、";" がエンコードされているため機能しません。"testIt;testIt" が JavaScript エンコードされています。
           document.getElementById("bb").onmouseover = \u0074\u0065\u0073\u0074\u0049\u0074\u003b\u0074\u0065\u0073\u0074\u0049\u0074;
     
           //次のコードは、エンコードされた値が有効な変数名か関数参照なので機能します。"testIt" が JavaScript エンコードされています。
           document.getElementById("bb").onmouseover = \u0074\u0065\u0073\u0074\u0049\u0074;

           function testIt() {
               
               alert("I was called.");
           }

for ( var \u0062=0; \u0062 < 10; \u0062++){
    \u0064\u006f\u0063\u0075\u006d\u0065\u006e\u0074                  
    .\u0077\u0072\u0069\u0074\u0065\u006c\u006e
    ("\u0048\u0065\u006c\u006c\u006f\u0020\u0057\u006f\u0072\u006c\u0064");
}
\u0077\u0069\u006e\u0064\u006f\u0077
.\u0065\u0076\u0061\u006c
\u0064\u006f\u0063\u0075\u006d\u0065\u006e\u0074
.\u0077\u0072\u0069\u0074\u0065(111111111);

var s = "\u0065\u0076\u0061\u006c";
var t = "\u0061\u006c\u0065\u0072\u0074\u0028\u0031\u0031\u0029";
window[s](t);

<a href=”…” >

&#x3c;a href=… &#x3e;

<&#x61; href=…>

document.body.style.backgroundImage = "url(<%=Encoder.encodeForJS(Encoder.encodeForURL(companyName))%>)";

var x = document.createElement(“a”);
x.setAttribute(“href”, ‘<%=Encoder.encodeForJS(Encoder.encodeForURL(userRelativePath))%>’);
var y = document.createTextElement(“Click Me To Test”);
x.appendChild(y);
document.body.appendChild(x);

<script>
element.textContent = “<%=untrustedData%>”;  //コードを実行しません。
</script>

var x = “<%=encodedJavaScriptData%>”;

setTimeout((function(param) { return function() {
         customFunction(param);
         }
})("<%=Encoder.encodeForJS(untrustedData)%>"), y);

setTimeout(“customFunction(‘<%=doubleJavaScriptEncodedData%>’, y)”);
function customFunction (firstName, lastName)
      alert("Hello" + firstName + " " + lastNam);
}

var x = "doubleJavaScriptEncodedA";  //\u005c\u0075\u0030\u0030\u0034\u0031
if (x == "A") {
   alert("x is A");
} else if (x == "\u0041") {
   alert("This is what pops");
}

var input = “<%=Encoder.encodeForJS(untrustedData)%>”;  //サーバー側エンコード

window.location = ESAPI4JS.encodeForURL(input);  //URL エンコードが JavaScript 内で実行されます

document.writeln(ESAPI4JS.encodeForHTML(input));  //HTML エンコードが JavaScript 内で実行されます

function escapeHTML(str) {
     str = str + "";
     var out = "";
     for(var i=0; i<str.length; i++) {
         if(str[i] === '<') {
             out += '&lt;';
         } else if(str[i] === '>') {
             out += '&gt;';
         } else if(str[i] === "'") {
             out += '&#39;'; 
         } else if(str[i] === '"') {
             out += '&quot;';                        
         } else {
             out += str[i];
         }
     }
     return out;                    
}

var x = “<%=properly encoded data for flow%>”;

window[userData] = “moreUserData”;

if (userData===”location”) {
   window.location = “static/path/or/properly/url/encoded/value”;
}

var myMapType = {};
myMapType[<%=untrustedData%>] = “moreUntrustedData”;

<a href=”javascript:myFunction(‘<%=untrustedData%>’, 'test');”>Click Me</a>
...
<script>
Function myFunction (url,name) {
    window.location = url;
}
</script>

<a href=”javascript:myFunction(‘<%=Encoder.encodeForJS( ↩
              Encoder.encodeForURL(untrustedData))%>’, 'test');”>Click Me</a>
…


<a href=”javascript:myFunction(‘<%=Encoder.encodeForJS(untrustedData)%>’, 'test');”>Click Me</a>
...
<script>
Function myFunction (url,name) {
    var encodedURL = ESAPI4JS.encodeForURL(url);  //URL encoding using client-side scripts
    window.location = encodedURL;
}
</script>

<script>
&#x61;lert(1);
</script>

<form name=”myForm” …>
  <input type=”text” name=”lName” value=”<%=Encoder.encodeForHTML(last_name)%>”>
…
</form>
<script>
var x = document.myForm.lName.value;  //値の取得時にエンコードが復号化されます
document.writeln(x);  //これで、lName に渡されたどのコードも実行可能です。
</script>

<script>
var tag = document.createElement(“script”);
tag.innerText = “<%=untrustedData%>”;  //コードを実行します 
</script>

DOM ベース XSS 対策チートシート

はじめに

ルール 1: 信頼できないデータを実行コンテキスト内の HTML サブコンテキストに挿入する前に HTML エスケープし、JavaScript エスケープする

危険な HTML メソッドの例

属性

メソッド

ガイドライン

ルール 2: 信頼できないデータを実行コンテキスト内の HTML 属性サブコンテキストに挿入する前に JavaScript エスケープする

安全ながら表示が崩れる例

完全で機能的にも適切な例

ルール 3: 信頼できないデータを実行コンテキスト内のイベントハンドラーサブコンテキストや JavaScript コードサブコンテキストに挿入するときは注意が必要

HTML エンコードが持つ安全化という性質

ルール 4: 信頼できないデータを実行コンテキスト内の CSS 属性サブコンテキストに挿入する前に JavaScript エスケープする

ルール 5: 信頼できないデータを実行コンテキスト内の URL 属性サブコンテキストに挿入する前に、URL エスケープし、さらに JavaScript エスケープする

ルール 6: DOM にデータを入力するときには安全な JavaScript 関数またはプロパティを使用する

JavaScript を使用してセキュアなアプリケーションを開発するためのガイドライン

DOM ベースの XSS 軽減に関連する一般的な問題

複雑なコンテキスト

エンコードライブラリの不整合

エンコードに関する誤解

通常は安全なメソッド

Authors and Contributing Editors

Other Cheatsheets

Navigation menu

Personal tools

Namespaces

Variants

Views

Actions

Search

Navigation

Reference

Language

Tools