カテゴリー:
セキュリティ
閲覧数:939 配信日:2014-05-21 23:05
イベントハンドラ属性
・onmouseover
・onchange
・onload
・onfocusなど
<span onmouseover="★★');">テスト</span>
何が問題？
・エスケープ処理をしてもスクリプトを埋め込まれ実行される可能性がある
対策
・埋め込みたいスクリプト関数名のリストを予め用意しておき、入力データに対応するスクリプト関数名を埋め込む
・入力データをそのままイベントハンドラ属性部分に埋め込んではいけない
script タグ
script タグで囲まれている部分
<SCRIPT src="★★"></SCRIPT>
style 属性
<br style=left:★★>
<style type="text/javascript">★★</style>
<style type="text/javascript">★★</style>
外部スタイルシートへのリンク
<link rel="stylesheet" href="★★">