まだ重たいCMSをお使いですか？
毎秒1000リクエスト を捌く超高速CMS「adiary」
毎秒1000リクエスト を捌く超高速CMS「adiary」
2006/09/12(火)adiaryのXSS対策
Version1.00β9以降についての記述です。
対外部ユーザー＝アカウント非保持者
- コメント欄、TBなどのtag記号<, >, "はすべてエスケープ。
- USER_AGENT, DNS逆引きホスト名内のタグ文字などをエスケープ。
- PATH_INFOなどの文字列は、エスケープなしに（表示等に）使用しない。
- CSSXSS対策。「{」を「{」に置き換える。
対内部ユーザー＝アカウント保持者
スタイルシートXSS対策
日記本文内の style="" 指定
- \, @記号および、0x00～0x1fの制御コード、0x80～0xffまでの文字コード（全角文字など）を除去
- /*, */, &#, script, java, exp, eval, cookie, includeといった文字列が完全になくなるまで除去*2
ユーザースタイルシート内
- TAB, LF以外の制御文字を除去する。
- コメントを最初に退避し、"*/"を"*/ "に置き換える。
- "～"といった文字列（改行を含む）を退避し、文字列内から改行を除去*3、さらに日本語文字で終わる場合はスペースを付加する。（EBXSS対策）
- ", ', *, #を除く文字の、手前に付く\記号を除去する。
- 0x80～0xffのコード（全角文字など）をすべて消去する。
- /*, */, &#, script, java, exp, eval, cookie, includeといった文字列が完全になくなるまで除去する。
- TAB や LF を間に挟んだ上記の記号列が１つでも存在する場合、TABやLFの手前にスペースを１つ追加する。
- url() が正しいかチェックする。相対リンクの場合は"./"を先頭に付加する。
- 文字列を復元する。
- コメントを復元する。
参考文献
- はてなダイアリーXSS対策
- IE における "expression" の過剰検出による XSS の 誘因
- 通常とは異なる記述の javascript: プロトコルが実行される(microsoft) … TABの代わりにスペースや改行でも同様に解釈されるので注意。
スクリプト側で対応不可能な既知のIE脆弱性
お願い
adiaryでセキュリティーホールを発見した場合はどんなに些細なものでもお知らせ下さい*4。また「このセキュリティーホールに対応していますか？」という問い合わせはこの記事にどうぞ。
2006/04/14(金)トラックバック - adiary拡張仕様（日本向け）
トラックバックの技術仕様 Version1.1に対する拡張です。
予備規定
- 文字コードの表示。日本語の文字コードは「EUC-JP」「UTF-8」「Shift_JIS」「iso-2022-jp」のいずれかの文字列を指定すること。
トラックバックフォーム(POSTデータ)の拡張
- トラックバックを受信する場合、未知のパラメータ（key）に対するデータは無視すること（規定外のフォームデータを送信してもよい）。
- charset パラメーター。トラックバックの文字コードを示す。トラックバックが日本語文字を含む場合、必ず含まなければならない。
- x_author パラメーター。その記事を書いた人の名前を x_author として送信することができる(optional)。
トラックバック送信時のヘッダ拡張
- トラックバックを送信時、クライアントはHTTPの定める「User-Agent」ヘッダを送信し、このときblogシステム（など）を名乗ることができる(optional)。
トラックバックURLへのGETの規定
- トラックバックURLをGETした場合、サーバソフトは Content-Type ヘッダに、charset を付加し内部文字コードを示さなければならない。ここで示す内部文字コードでトラックバックを送信した場合、文字化けしないことを保証しなければならない。
例）Contenet-Type: text/xml; charset=EUC-JP
- トラックバックURLをGETした場合、サーバソフトは拡張ヘッダ「X-TB-Accept-Charset」を出力し、トラックバックとして受信可能な文字コードをカンマ区切りで示すことができる（optional）。
例）X-TB-Accept-Charset: EUC-JP, UTF-8, Shift_JIS, iso-2022-jp, iso-8859-1
updates
- 2006/04/14 初版
- 2006/07/24 author を author_name に変更（WordPressでの問題に対応）
- 2006/08/01 WordPressへの対応のため、author_name を x_author に変更（fix）*1