今回も「体系的に学ぶ 安全なWebアプリケーションの作り方 第2版 脆弱性が生まれる原理と対策の実践」という本を読んだ勉強記事です。
外部からの入力に対して画面の表示を変更している個所には危険が潜んでいます。攻撃者に狙われるとクッキーの情報を盗まれたり、フォームを書き変えられたりします。
今回はSpringを使ってクッキーの情報を表示する簡単なサンプルを作ります。今回は画面に表示するだけですが、jsを流し込まれるのでリダイレクト処理などであっという間にクッキーの情報が盗まれてしまいます。
XSSにはJS側のDOM Based XSSもあります。→今回の記事内容とは別物です。
<h2>危険な画面を作成する</h2>
合計２つの画面を作っていきます
<ul>
<li>入力画面</li>
<li>入力画面で入力した文字列を表示する画面</li>
</ul>
入力画面はinputを送信するだけです
<div class="remark-highlight"><pre class="language-HTML"><code class="language-HTML">&#x26;lt;!DOCTYPE html&#x26;gt;
&#x26;lt;html xmlns=&#x26;quot;http://www.w3.org/1999/xhtml&#x26;quot; xmlns:th=&#x26;quot;https://www.thymeleaf.org&#x26;quot;
 xmlns:sec=&#x26;quot;https://www.thymeleaf.org/thymeleaf-extras-springsecurity5&#x26;quot;&#x26;gt;
&#x26;lt;head&#x26;gt;
 &#x26;lt;title&#x26;gt;投稿&#x26;lt;/title&#x26;gt;
&#x26;lt;/head&#x26;gt;
&#x26;lt;form th:action=&#x26;quot;@{/newpost}&#x26;quot; method=&#x26;quot;post&#x26;quot;&#x26;gt;
 &#x26;lt;div&#x26;gt;&#x26;lt;label&#x26;gt;入力内容&#x26;lt;input type=&#x26;quot;text&#x26;quot; name=&#x26;quot;input&#x26;quot;/&#x26;gt; &#x26;lt;/label&#x26;gt;&#x26;lt;/div&#x26;gt;
 &#x26;lt;div&#x26;gt;&#x26;lt;input type=&#x26;quot;submit&#x26;quot; value=&#x26;quot;送信&#x26;quot;/&#x26;gt;&#x26;lt;/div&#x26;gt;
&#x26;lt;/form&#x26;gt;
&#x26;lt;/body&#x26;gt;
&#x26;lt;/html&#x26;gt;</code></pre></div>
表示画面では様々な形で、受け取ったinputを表示していますが、危険なのがutextで表示している個所です。これはエスケープしないので、スクリプトが送られるとそのまま実行されてしまいます。
<div class="remark-highlight"><pre class="language-HTML"><code class="language-HTML">&#x26;lt;!DOCTYPE html&#x26;gt;
&#x26;lt;html xmlns=&#x26;quot;http://www.w3.org/1999/xhtml&#x26;quot; xmlns:th=&#x26;quot;https://www.thymeleaf.org&#x26;quot;
 xmlns:sec=&#x26;quot;https://www.thymeleaf.org/thymeleaf-extras-springsecurity5&#x26;quot;&#x26;gt;
&#x26;lt;head&#x26;gt;
 &#x26;lt;title&#x26;gt;入力内容&#x26;lt;/title&#x26;gt;
&#x26;lt;/head&#x26;gt;
&#x26;lt;P&#x26;gt;１&#x26;lt;/P&#x26;gt;
[[${input}]]
&#x26;lt;hr&#x26;gt;
&#x26;lt;P&#x26;gt;２&#x26;lt;/P&#x26;gt;
&#x26;lt;P th:text=&#x26;quot;${input}&#x26;quot;&#x26;gt;&#x26;lt;/P&#x26;gt;
&#x26;lt;hr&#x26;gt;
&#x26;lt;P&#x26;gt;３&#x26;lt;/P&#x26;gt;
&#x26;lt;P th:utext=&#x26;quot;${input}&#x26;quot;&#x26;gt;&#x26;lt;/P&#x26;gt;
&#x26;lt;/body&#x26;gt;
&#x26;lt;/html&#x26;gt;</code></pre></div>
コントローラーではinputをmodelにセットしておきます
<div class="remark-highlight"><pre class="language-java"><code class="language-java">@Controller
public class XSSController {

 @GetMapping("/newpost")
 public String newPost(){
 return "create";
 }

 @PostMapping("/newpost")
 public String checkPost(@RequestParam(name="input") String input, Model model){
 model.addAttribute("input",input);
 return "check";
 }
}
</code></pre></div>
<h2>XSS</h2>
フォームに対してクッキーを表示するようなスクリプトを投げます。ログインしているとセッションIDが表示されてしまいます。※SpringSecurityのデフォルトでは表示されません(後述)
<img src="/3913/1.png" alt="画像">
これを送信すると
<img src="/3913/2.png" alt="画像">
セッションIDが表示されています。これはエスケープしてない箇所が原因です
<img src="/3913/3.png" alt="画像">
このように外部からの入力を画面に表示する時には、エスケープ処理が重要になってきます。
Springでは[[${input}]]としてもエスケープしてくれているので、utextについて注意して扱うようにします。
<h2>クッキーの設定</h2>
本当はセッションIDが表示されないと書きましたが、これはクッキーのhttponly属性をチェックしていればjsからクッキーにアクセスできないからです。
Springで付与されているクッキーにはhttponly属性が付いていますので、クッキーの値は読み取ることはできません。
今回は意図的に外しています。ダブルクリックするとチェックボックスが表示されます。
<img src="/3913/4.png" alt="画像">
その横にSecureというのがありますが、これはhttps通信のみサーバーにクッキーが送信されるフラグです。デフォルトでオフになっているようですが、本番ではここも付けておく方が良いかもしれません。

Springで学ぶXSS対策