CAMPHOR- 定例LTの発表資料です．XSS とは何かという解説と，それを防ぐための手法を2つ紹介します．

1. XSSの傾向と対策
@genya0407

2. Disclaimer:
私はセキュリティの
素人です！！！

3. XSSとはなにか

4. XSSとは
● Webアプリに任意のスクリプトを実行させる攻撃
● ユーザーの入力をエスケープしないと起こる
○ 現代のテンプレートエンジンは自動でエスケープする
■ 生PHPを使うとエスケープされないっぽい
○ エスケープを切りたいのはどういうとき？
■ よくあるケース：ユーザーにマークアップさせたいとき

5. XSSのデモ
● <h2>タイトル</h2>
● <script> alert(‘こんにちわ！’); </script>
● <script> while(true){ alert(‘こんにちわ！’)};
</script>

6. XSSの脅威
● POSTリクエストも送れる
○ ログイン状態で好きな操作ができる
○ 例えばメッセージを読むと送金のリクエストが送信させられ
るなど

7. XSSの対策

8. エスケープしろ！！！
● フレームワークを使ってWebアプリを作る
○ フレームワークのベストプラクティスを守れば基本は安全
になる
○ 生PHPをやめろ
● ユーザーにHTMLを直書きさせるのは諦める

9. Content-Security-Policy
https://infosec.mozilla.org/guidelines/web_security#content-security-policy
● Content-Security-Policy: default-src 'self';
○ HTTPヘッダかmetaタグで指定
○ 自ドメイン以外からのファイル読み込みをreject
○ inline scriptを無効化
○ XSSができなくなる！
● デモ

10. Mozilla Observatory
● https://observatory.mozilla.org/
○ セキュリティの問題点を指摘してくれる
● 僕の質問箱の例
○ A+ !!!