%!zt! <diary>(2002-04)

この日記にはツッコミを入れられます。ツッコミを入れたい日付をクリックすると、フォームが現れます。

2002年04月02日(Tue)

✑ [web] secure cgi programming (2)

なんかタイトルが変わってる気がしますが気にせずに続きです。実際にクロスサイトスクリプティング問題があるCGIスクリプトを書いてみよう。とは言っても最初は問題があることに気づかずに書いてしまうことになる。


#!/usr/bin/ruby
require 'cgi'
cgi = CGI.new("html4")
cgi.out {
  cgi.html("PRETTY") {
    cgi.table {
      ENV.sort.collect do |k,v|
        cgi.tr {
          cgi.th{ k } + cgi.td{ v }
        }
      end
    }
  }
}

深く考えずに書くとこのようなコードになる。ここでは標準添付ライブラリということでcgi.rbの機能を使ってタグをつけたが、他の方法でもかまわない。さて、このコードのどこにクロスサイトスクリプティング問題があるのかというと、すぐに気がつくのは環境変数の値(v)のところである。しかし、それだけで油断してはいけない。ここで油断してvだけをエスケープするようにしてkの方をエスケープし忘れるとクロスサイトスクリプティング問題が残ってしまう。このような些細な油断がY2K問題を修正したつもりで、新たに本来ならば回避可能なY10K問題を埋め込んでしまうということにつながってしまう。だから、このような考え方は避けて、同じような処理をしているところすべてを見直すようにする必要がある。また、可能ならば同じような処理をしているところは共通化して変更を容易にしておくと、消費税が3％から5％になったときのように、さらに変更が必要になった場合に対応しやすくなる。クロスサイトスクリプティング問題の対策をしたコードはこのようになる。


#!/usr/bin/ruby -wT
require 'cgi'
cgi = CGI.new("html4")
cgi.out {
  cgi.html("PRETTY") {
    cgi.table {
      ENV.sort.collect do |k,v|
        cgi.tr {
          cgi.th{ CGI.escapeHTML k } + cgi.td{ CGI.escapeHTML v }
        }
      end
    }
  }
}

✑ [ruby] taintを利用したescape

taintedなオブジェクトは自動でescapeHTMLするようにすればescapeHTMLを自動化できないだろうか？


def escape_for_taint(ary)
  result = ''
  ary.each do |e|
    case e
    when Array
      result.concat escape_for_taint(e)
    else
      if e.tainted?
        result.concat CGI.escapeHTML(e.to_s).untaint
      else
        result.concat e.to_s
      end
    end
  end
end

zt日記

✑ [web] mod_rewrite path_info

✑ [KDE] .DCOP*

✑ [ruby] .irbrc

✑ [web] secure cgi programming (2)

✑ [ruby] taintを利用したescape

✑ [RWiki] 書き込みに認証をつける方法

✑ [ruby] ruby -vrpp =(sed 's/\<p\>/pp/g' hoge.rb)

✑ [web] If-Modified-Since

✑ [mail] 無駄なHTMLメール

✑ [Lisp] coffee? t.

✑ [vim] ナローバンド

✑ [Linux] chsh, sudo

✑ [editor] transpose-chars

✑ [note PC] 液晶

✑ [editor] vim

✑ [regexp] ruby-devのOniGurumaスレッド

✑ [tdiary] 謎JavaScript

✑ [ruby] WebUnit

✑ [term] 小うるさい端末

✑ [ruby] tainted?

✑ [ruby] testunit

✑ [mail] lists.sourceforge.net

✑ [debian] uupdate

✑ [diary] weekly typed

✑ [web] http

✑ [cygwin] update

✑ [言葉] バータリー

✑ [cygwin] wwwoffle-2.7a

✑ [cygwin] cygrunsrv

✑ [ruby] Dir.glob('*')とsafe level

✑ [ruby] -Tと$LOAD_PATH

✑ [ruby] mod_ruby

✑ [ruby] setup.rb

✑ [linux] Unknown HZ value! (5) Assume 100.

✑ [cvs] ~/.cvsignore

✑ [ruby] RDoc

✑ [ruby] ext/**/.cvsignore

✑ [ruby] rough ←→ ruby, shim

✑ [Windows] hosts

✑ [ruby] socket.c

✑ [cygwin] CVS

✑ [cvs] annotate

✑ [web] mozilla

✑ [cvs] add -- -hoge

✑ [ruby] evalとRDoc

✑ [RWiki] PageRankもどき

✑ [ruby] MultiRange

✑ [web] JavaScript 1.1

✑ [shell] exec

✑ [misc] dagger

✑ [ruby] pack,unpack

✑ [shell] zsh

✑ [mail] @nifty to sf.net

✑ [samba] \\server\printer

✑ [mail] Klez

✑ [ruby] $KCODE

✑ [Linux] ディスク容量

✑ [ruby] sub,gsubの第一引数

✑ [misc] へめへめくつし

✑ [CVS] commit -n

✑ [web] deflate

✑ [cvs] chmod

✑ [emacs] wl

✑ [emacs] PuTTYjp

✑ [Linux] reboot

✑ [ruby] `ruby -vrpp =(sed 's/\<p\>/pp/g' hoge.rb)`

✑ [ruby] `Dir.glob('*')`とsafe level