セキュリティキャンプ中央大会2012 webセキュリティクラス チーム「わく□」 <del>Python / スリッパ</del> @kyubuns / @lmt_swallow

1. セキュリティキャンプ中央大会2012
webセキュリティコース成果発表
Webフレームワークの
XSS対策の自動化
わく□（@kyubuns / @lmt_swallow）

2. 目的
Webフレームワーク側で基本的な
XSS対策を自動的に行うようにして
脆弱性のあるWebサイトを減らす

3. 現在の問題点
• セキュリティに詳しくない人が脆弱性
のあるサイトを簡単に作れてしまう。
• 文脈を見てエスケープする文字を変更
する必要がある。
• 例えば、HTMLとJSでは別々のエス
ケープ処理が必要。

4. 今回やったこと
• それぞれが別々のフレームワークに
自動でXSS対策をしてくれるライブラリ
を作成した。

5. 特徴
• 文脈に応じて正しいエスケープが自動的に行
われる。
• 例えばHTMLとJSでは違うエスケープ処理が必要。
• フレームワーク自体のコードは変更しない。
• 稼働中のコードに少ない変更で導入できる。

9. テンプレート：14行

10. Pythonという言語：15行

11. たった30行で作れる！

12. けどそのまま表示してるので危ない。

13. ふぁぼめ
(Python+Flask用のXSS対策自動化ライブラリ)

14. 実装
• 外部から入力された値は通常の文字列型では
なく独自の型として扱う。
• 通常の文字列型との比較演算子を定義して
おくことで、いつも通り使える。
• 文字列にキャストする時に自動でエスケー
プが走る。

15. 実装
• Flaskに渡す前にテンプレートを解析し
て、必要なエスケープ処理をテンプ
レートに埋め込む。

16. 導入手順
• テンプレート自体はそのまま使える。
• テンプレートの読み込みクラスを
EnvironmentからFavEnvironmentに変更。
• 入力の取得を
before: request.values.get(“name”) #返り値はstring
after: favreq(“name”) #返り値はUserInputString
に変更。

17. SanitizeController
(PHP+CakePHP用のXSS対策自動化ライブラリ)

18. App::import(“Controller”,”Sanitize”);
class TestController extend SanitizeController
{
public function index()
{
//WARNING!!!!
$ts = “<script>alert(1)</script>”;
$this->set(“test”,$ts);
}
}

19. diff
< App::import("Controller","Sanitize");
> class TesterController extends AppController
< class TesterController extends SanitizeController

20. 実装
• 実装自体は継承元のControllerクラスの
setメソッドをオーバーライドしてるだ
け。
• 継承するControllerをSanitizeControllerに
変更するだけで使える。

21. 今後の課題
• まだ対応出来ていない脆弱性があるの
で対応したい。