呉工業高等専門学校 / 電気情報工学科
Railsでセキュリティのことを考えずに作ったwebアプリは脆弱性があるのか調べてみた(脆弱性検証編)
この続きです。 euglena1215.hatenablog.jp 検証方法が全く網羅的ではないということを踏まえた上でお読みください。 検証 XSS(クロスサイトスクリプティング) 方法 投稿フォームに以下のリンクに載っているXSSの例を片っ端から入力してみた。 XSS Filter Evasion Cheat Sheet - OWASP 結果 脆弱性は見つからなかった。 理由 rails3からデフォルトで文字列を出力するときにはエスケープされるようになっているため基本的にはXSSは通らない。 なので文字列をエスケープさせたくない場合には <%= 文字列.html_safe %> <%= r…