クロスサイトスクリプティング

ラボの中の小さな関数で比べます。Python に付いている html と urllib.parse だけで動き、外とは通信しません。どの例も、山括弧や引用符を含む、悪意の無い名前で崩れ方を見せます。

本文に置くとき

def card(name):return "<p>" + name + "</p>"

from html import escape def card(name):return "<p>" + escape(name) + "</p>"

脆い方に「<b>Ann</b>」を渡すと、b のタグが 1 つ増えます。直した方では <b> に置き換わり、画面には山括弧ごと文字として出ます。

属性に置くとき

from html import escape def field(name):v = escape(name, quote=False)return ('<input value="'+ v + '">')

from html import escape def field(name):v = escape(name)return ('<input value="'+ v + '">')

脆い方もエスケープはしています。山括弧は置き換わるので、本文なら足ります。ところが属性の値は引用符で囲まれているので、引用符を置き換えないと、値がそこで閉じます。

あだ名を「Ann "Bee" Lee」と書いた人で試すと、脆い方では value が「Ann 」で終わり、残りの「Bee"」と「Lee"」が別の属性として読まれます。属性を足せるなら、ふるまいを変える属性も足せます。直した方は引用符を " に置き換えるので、値は 1 つのままです。

URL の中に置くとき

from html import escape def link(name):url = "/users?name=" + namereturn '<a href="' + escape(url) + '">'

from html import escapefrom urllib.parse import quote def link(name):url = "/users?name=" + quote(name)return '<a href="' + escape(url) + '">'

「Tom & Jerry」で試します。脆い方では、& は & に置き換わりますが、ブラウザは属性を読むときに & を & に戻します。行き先の URL では name の値が「Tom 」で終わり、「 Jerry」は別の項目として読まれます。HTML のエスケープは HTML の決まりを守るだけで、URL の決まりは守りません。

直した方は、先に quote で URL の中の値として書き換え (%26 など)、そのうえで HTML のエスケープをかけます。外側の決まりが内側の決まりを守ってくれることはないので、内側から順にかけます。

もう 1 つ、利用者が入れた URL を丸ごとリンクにする場合は、エスケープでは足りません。IPA は、http と https で始まる URL だけを許すよう求めています。URL の始まりの方式 (スキーム) によっては、リンクを押しただけでスクリプトが動くからです。

ブラウザの中で書き換えるとき

サーバーではなく、ブラウザの JavaScript でページを書き換える所にも同じ穴が開きます。innerHTML に文字列を入れると、ブラウザはそれを HTML として読みます。OWASP は、文字を出すだけなら textContent を使うよう勧めています。textContent は HTML として読まず、文字のまま置きます。