質問: ユーザー登録/認証型ページで、ユーザー入力によるIMGタグで外部サーバーの画像を参照された場合のXSSセキュリティーホールがあれば教えて下さい。 例) ・www.domain.com/user/でユーザーがユーザー登録し、 ユーザーホームページを開設 ・ユーザー認証にはクッキー&セッションを使用 ・ユーザーがIMGタグで外部ドメインを指定 > 上の例の場合、指定された画像によってセキュリティーをつつく(偽装画像によりクッキーやセッションを悪用するなど)ことは可能でしょうか? よろしくお願い致します。
回答: 外部から送り込んだスクリプトを、標的サイト(ここではwww.domain.com ――実在するドメインなので例としては不適切ですが)のものと見せかけてブラウザ上で実行させるのがXSSですから、画像のようにスクリプトを含まないものは原則としてXSSに関係ありません。 が、いくつか補足しておきます。 ・画像そのものがXSS脆弱性と関係なくても、IMGタグは関係大ありです。結局、ユーザがそのIMGタグ(もしくは画像URL)を入力する部分ではそれなりのXSS対策が必要となります。 ・偽装画像によって何らかの悪さをされる可能性はあります。実際、過去にはJPEGやPNGの表示処理の脆弱性が問題になったこともありました。これはクライアント側の脆弱性の話であってXSSとは関係ありません(深く考えてませんが合わせ技はあるかも)が、質問に「偽装画像」とありましたので念のため補足しておきます。 ・外部サーバ側でCGIのような形で処理が動くことはあります。トラッキングクッキーなどを送り込んでくることもあるでしょう。が、これは通常の動作であって、当然XSSとは関係ありません。クッキーの盗用やセッションハイジャックには繋がらないはず。 以上、こんな回答で参考になるでしょうか。