Blog の比較その後, , - よこいまさる日記(2004-05-21)

Fri May 21 2004 [長年日記]

■ Blog の比較その後

昨日書いていた blog 書き方の比較のはなしの続きっす。セキュリティについては... の話です。

livedoor Blog にセキュリティ上の問題があると私は思うのですが、livedoor blog ではセキュリティ上の問題として処理する節がないので、公開します。

楽天広場の日記とか livedoor Blog とかだと、HTML のタグを書いてそれをWebページ表示できる、ということろで、セキュリティ問題とかおきやすいかもねって思ったんです。最近のクロスサイトスクリプティング問題の例で、URL とか POST するデータに JavaScript になるような文字列を入れて、それがそのサイトに属するスクリプトとしてクライアントサイドで実行されたら、そこにはクロスサイトスクリプティングの問題がある、っていう検証方法がある。んでこれらの blog のやりかただと、HTML として記述すると、それがある程度の検証を通って、その文字列がクライアントに渡されているんだろうとヤマを読んで。そのヤマから妄想してクロスサイトスクリプティング問題のように、blog の書きかた次第では JavaScript を実行できるんじゃないかって思ったわけ。

この検証ということで、楽天と livedoor の blog の日記を書くフォームに、JavaScript が動きそうなある文字列を書いてみた。 (再現方法は一応非公開にしてみます) 楽天は tag の attribute の値を評価しているみたいで、この文字列に対し「正しくない」といった表示を行ない、記事のコミットができないようになっていた。 livedoor はそのまますり抜けた。「クロスサイトスクリプティングと同じようなことが」なんて思っていたのが、そのまま起きていた。

このことに夜中に気付いて、livedoor blog の質問フォームに書いてタレ込んだのです。仕事の早い livedoor さんは今日の夕方には返事をくれたのですが、「javascript の書き方次第では可能ですが」「livedoor で使用する cookie は livedoor.com のみで有効」で「blog は livedoor.jp 」で、この JavaScript の問題で cookie をパクることはできない、という回答でした。たしかにタレ込み文の書き方がわるくて、cookie パクれるかもしれないと書いたけど、JavaScript が実行させることができるっていうことには対して問題意識ないみたいです。それなりに経験豊富なはずの Web 構築屋なんだから、それなりにクロスサイトスクリプティング問題に多少なりともピリピリしているかと思ったんですがねぇ。なんか認識の違いかもしれませんが、ボクはこの点にセキュリティ上の問題があるかと思いますが、livedoor のご回答をくださった方は、この点にセキュリティ上の問題があるとかそういうフレーズはありませんでした。彼らがセキュリティ上の問題だと思っているという感触がなく、対処するから待っていてくれみたいな対応もないので、この問題をここに書いておきます。

各 blog サービスでどのような書式で日記記事をユーザに書かせているか調べて、イイところを HNS に取り入れてみようなんて思ったのだが、調べ始めて数十分でこんな問題がみつかってしまったわけで。なんだか寄り道しすぎ。ってか高木浩光さんのマネする気はないんだけど

■ 今日