アプリケーションセキュリティ & 安全な開発

玄関の鍵を閉めても「泥棒」はやってくる？DOM型XSSからWebサイトを守る「最強の防犯術」こんにちは！セキュリティの世界へようこそ。普段、家の玄関にはしっかり鍵をかけていますよね？でも、もし「家の中に誰かが紛れ込んでいて、家主のフリをして...

XSSは「単なるアラート表示」ではない：認証情報窃取が招く法的帰結とアーキテクトが担う防衛の深淵XSS（Cross-Site Scripting）を、いまだに「alert(1)を表示させて終わり」の初歩的な脆弱性と捉えているなら、今日でその...

XSSは「ただの文字列表示ミス」ではない。その先にある「法的地獄」を理解せよこんにちは。現場で泥をすすりながらインシデント対応をしていると、いまだに「XSSなんてアラートが出るだけでしょ？」と高を括っているエンジニアに出会うことがあります。...

こんにちは。現場の最前線でセキュリティの泥臭い対応に追われている皆さん、お疲れ様です。今日は、Web開発の世界で「古くて新しい宿題」と呼ばれ続けているXSS（クロスサイトスクリプティング）について、少し違った角度からお話ししようと思います。...

リンクの悪夢：javascript:スキームと「ブラウザの迷走」を解剖するセキュリティアーキテクトとして多くのコードベースを監査してきたが、未だにアプリケーションの根幹で、この「古くて新しい」脆弱性に足元をすくわれるエンジニアが後を絶たない...

なぜ「javascript:」スキームは今もなお開発者の盲点なのか現場でコードレビューをしていると、今でもこの手の脆弱性に遭遇する。「そんなの昔の技術じゃないのか？」と思うかもしれないが、甘い。攻撃者は常に「開発者がHTMLの仕様を正しく理...

「javascript:」という名のトロイの木馬 ― URLスキーム攻撃からWebサイトを守る方法こんにちは。現場の最前線でセキュリティと向き合っているエンジニアです。皆さんは、Webサイトの入力フォームに「悪意のあるスクリプトを書き込まれ...

コード実行の「パンドラの箱」：eval()とsetTimeout()が生む脆弱性の深層セキュリティの最前線にいる諸君なら、「eval()は悪だ」という教訓は耳にタコができるほど聞かされてきたはずだ。だが、なぜそれが現代のアプリケーションアー...

「魔法の関数」という名の時限爆弾：eval()とsetTimeout()が招くXSSの深淵現場でコードレビューをしていると、今でもたまに遭遇するんだ。「動的に処理を切り替えたいから」という理由で、平然とeval()を使っているコードに。正直...

「魔法の箱」に毒を入れないで：JavaScriptの「動的実行」が招くXSSの恐怖と対策こんにちは。セキュリティの世界へようこそ。日々、見えない敵と戦うエンジニアの皆さん、あるいはこれからWebの世界に足を踏み入れる新人の皆さん。今日は、W...