XSS脆弱性対策(3) - その他の注意すべき点 ／ イベントハンドラ属性

PHP用語集

→ → → Entries ← ← ←
カテゴリー: セキュリティ 　閲覧数:919　配信日:2014-05-21 23:05


イベントハンドラ属性


・onmouseover
・onchange
・onload
・onfocusなど
<span onmouseover="★★');">テスト</span>

何が問題？
・エスケープ処理をしてもスクリプトを埋め込まれ実行される可能性がある

対策
・埋め込みたいスクリプト関数名のリストを予め用意しておき、入力データに対応するスクリプト関数名を埋め込む
・入力データをそのままイベントハンドラ属性部分に埋め込んではいけない

script タグ


script タグで囲まれている部分
<SCRIPT src="★★"></SCRIPT>

style 属性


<br style=left:★★>
<style type="text/javascript">★★</style>

外部スタイルシートへのリンク
<link rel="stylesheet" href="★★">


週間人気ページランキング ／ 1-30 → 2-5
順位 ページタイトル抜粋 アクセス数
1 Parse error: syntax error, unexpected 'public' (T_PUBLIC) | Parse error(エラーメッセージ) 10
2 ブラウザを閉じたらセッションデータはどうなるの？ | セッション 9
3 curl で Cookie を使用する 4
3 Fatal error: Access level to ▲::$△ must be protected (as in class ●) or weaker | Fatal error(エラーメッセージ) 4
3 PHPで定数を定義する方法は2種類ある ／ 配列定数の定義 4
4 コード例　… 「例外処理」はネストすることができる 3
4 Warning: PDO::query(): LOAD DATA LOCAL INFILE forbidden | Warning(エラーメッセージ) 3
4 http_build_queryとは？ ／ 構文 ／パラメータ 3
4 Mailer Error: SMTP connect() failed. https://github.com/PHPMailer/PHPMailer/wiki/Troubleshooting | エラーメッセージ 3
5 Fatal error: Cannot redeclare 関数名() (previously declared in ファイル名:○○) in ファイル名 | Fatal error(エラーメッセージ) 2
5 Fatal error: Uncaught exception 'PDOException' with message 'SQLSTATE[28000] [1045] Access denied for user 'データベースユーザー名'@'localhost' (using password: YES)' | phpMyAdmin(データベース関連) 2
5 ( ! ) Fatal error: Uncaught PDOException: SQLSTATE[HY093]: Invalid parameter number: parameter was not defined | Fatal error(エラーメッセージ) 2
5 new clone違い | 演算子 2
5 オブジェクト関係マッピング | データベース関連 2
5 array_filter | 配列 2
6 Fatal error: Uncaught Error: Call to a member function modify() on string | Fatal error(エラーメッセージ) 1
6 Fatal error: require_once(): Failed opening required 'PEAR.php' | Fatal error(エラーメッセージ) 1
6 セッション単位 | セッション 1
6 htmlspecialchars ／ htmlentities ／ addslashes ／ mysql_real_escape_string ／ mysqli_real_escape_string | セキュリティ 1
6 dirname() ／ (__FILE__ ) ／ basename( dirname( __FILE__ ) ); | 関数 1
2025/2/6 1:02 更新
指定期間人気ページランキング ／ 2020-5-28 → 2025-2-5
順位 ページタイトル抜粋 アクセス数
1 PHP用語 6672
2 ブラウザを閉じたらセッションデータはどうなるの？ | セッション 2434
3 Parse error: syntax error, unexpected 'public' (T_PUBLIC) | Parse error(エラーメッセージ) 2362
4 ブラウザを閉じたらセッションデータはどうなるの？ | セッション 1607
5 【テスト投稿】テスト | 1133
6 セッション管理が必要な理由は、HTTPプロトコルには状態を保持する機能がないため | セッション 1006
7 PHPで定数を定義する方法は2種類ある ／ 配列定数の定義 880
8 Fatal error: Access level to ▲::$△ must be protected (as in class ●) or weaker | Fatal error(エラーメッセージ) 830
9 Fatal error: Uncaught Error: Call to a member function modify() on string | Fatal error(エラーメッセージ) 805
10 コード例　… 「例外処理」はネストすることができる 803
11 Fatal error: require_once(): Failed opening required 'PEAR.php' | Fatal error(エラーメッセージ) 788
12 curl で Cookie を使用する 772
13 定数 711
14 Fatal error: Uncaught RuntimeException: SplFileObject::__construct(): failed to open stream: Permission denied in | Fatal error(エラーメッセージ) 700
15 インターフェイス | クラスとオブジェクト 693
16 Fatal error: Uncaught HeadlessChromium\Exception\OperationTimedOut: Operation timed out (3sec) in | Fatal error(エラーメッセージ) 664
17 メンバー | クラスとオブジェクト 644
18 Warning: include() [function.include]: Failed opening '**.php' for inclusion (in | Warning(エラーメッセージ) 621
19 ( ! ) Fatal error: Uncaught PDOException: SQLSTATE[22001]: String data, right truncated: 1406 Data too long for column | Fatal error(エラーメッセージ) 591
20 Composer | 依存関係マネージャ 563
2025/2/6 1:02 更新