SOC Report

Size: px

Start display at page:

Download "SOC Report"

れいがかみいしづ
5 years ago
Views:

1 IE8 以降の F12 開発者ツールを使った DOM Based XSS の検査法について N T T コミュニケーションズ株式会社ソリューションサービス部第四エンジニアリング部門セキュリティオペレーション担当 2011 年 09 月 05 日 Ver. 1.0

2 1. 調査概要 F12 開発者ツール F12 開発者ツール F12 開発者ツールを使って DOM BASED XSS を確認するサンプルHTML HTMLロード直後のスクリプトユーザイベント駆動型のスクリプトまとめ検証作業者参考履歴最新版の公開 URL 本レポートに関する問合せ先

1. 調査概要 Microsoft Internet Explorer( 以下 IE) の version8 以降には Web サイトの開発者向けに開発者ツールまたは F12 開発者ツールという機能が同梱されている本文書ではこの機能を使い DOM Based XSS を検査する初歩的方法について記述する 2. F12 開発者ツール 2.1. F12 開発者ツール F12 開発ツールとは IE に対して F12 を押す事で起動するデバグツールである ( 図 2.

3 1. 調査概要 Microsoft Internet Explorer( 以下 IE) の version8 以降には Web サイトの開発者向けに開発者ツールまたは F12 開発者ツールという機能が同梱されている本文書ではこの機能を使い DOM Based XSS を検査する初歩的方法について記述する 2. F12 開発者ツール 2.1. F12 開発者ツール F12 開発ツールとは IE に対して F12 を押す事で起動するデバグツールである ( 図 2.1-1~ 図 2.1-3) このような開発ツールによって Web アプリケーションのクライアント側スクリプトや Web ページのデザインのデバッグ環境は大幅に改善されるだろうさて DOM Based XSS は Web ブラウザ上の DOM に対しての XSS(Cross-Site Scripting) 攻撃である一般的な Web アプリケーションの診断手順とは異なる箇所で発現するため DOM Based XSS の診断作業にはこのような Web ブラウザ上のデバグツールは欠かせない図 : F12 キーまたはツール開発者ツールで起動できる 3

4 図 : IE8 の F12 開発者ツール CTRL + P キーで図のような画面になる図 : IE8 の F12 開発者ツール (IE と一体化されている ) CTRL + P キーで図のような画面になる 4

5 3. F12 開発者ツールを使って DOM Based XSS を確認する 3.1. サンプル HTML 今回は非常にシンプルな ( 図 3.1-1) を対象にして DOM Based XSS の確認していくシンプルとはいえ settimeout() 関数を使いスクリプトをバックグラウンドで実行している部分も確認できる <html> <head><title>dom Based XSS Test</title></head> <body> <script language="javascript" type="text/javascript">  </script> <hr> <p id="lmntag"></p> <A HREF="test.html">Reload</A> <form name="myfrm" METHOD="get" ACTION="test.html"> <input type="text" name="mytext" size="72"><input type="submit" name="send" value="send"><br> <input type="button" value="display Referer" onclick="test()"> </form> <p id="abctag"></p> <hr width="center"> <p id="xyztag"></p> <script language="javascript" type="text/javascript"> var Obj1 = document.getelementbyid("lmntag"); Obj1.innerHTML = document.referrer; function test(){ var Obj = document.getelementbyid("abctag"); Obj.innerHTML = document.referrer; } function mynow(){ var myobj = document.getelementbyid("xyztag"); var mydate = new Date(); var str = "" + mydate.getyear() + "/" + (mydate.getmonth()+1) + "/" + mydate.getdate(); str += " " + mydate.gethours() + ":" + mydate.getminutes() + ":" + mydate.getseconds(); myobj.innerhtml = str; } function mytimer(){ mynow(); settimeout('mytimer()',1000); } settimeout('mytimer()',1000); </script> </body> </html> 図 : まぁこの程度なら F12 開発者ツールを使うまでもないかもしれない 5

6 <html> <head><title>post Page</title> </head> <body> <form action="test.html" method="get"> <input type="text" name="mytext" size="72"> <input type="submit" name="send" value="send"> </form> </body> </html> 図 : test.html へデータを送信する入力画面 3.2. HTML ロード直後のスクリプト今回のサンプル HTML は HTML ロード時に実行されるスクリプトで Referer の値を画面に書き出していることが確認できるこの節では HTML ロード時に実行されるスクリプト中に含まれる DOM Based XSS について考察する手順は以下の通りとなるひとまず該当ページにアクセスし F12 開発者ツールを起動しコードのなるべく先頭部分にブレークポイントを設定しデバグ開始を押下する ( 図 3.2-1) 一つ前のページへ戻り再度アクセスする ( 図図 3.2-3) 図でブレークポイントのところで処理が停止するのでステップ実行などでコード解析を行い XSS が発現する可能性のある部分を探し出す ( 図 3.2-4) 図には innerhtml という DOM Based XSS を誘発させやすいプロパティ名を確認したのでそこにブレークポイントを設定する ( 図 3.2-5) 再度一つ前の画面に戻り図では Referer の値がそのまま innerhtml の値にコピーされているようなのでこの一つ前の画面から Referer に XSS コードを仕込んでみる ( 図 3.2-6) つまり図ではアドレス欄に直接クエリ文字列を与えて test2.html を呼び出した後で test2.html から test.html へ遷移する ( send ボタン ) その後は図 3.2-7~ 図のようにブレークポイントのところで停止する F12 開発者ツールでは実行中のスクリプトが扱っている DOM の状態を細やかに確認することができる最終的には図のように XSS を発現させることができた 6

7 図 : とりあえず該当ページにアクセスし F12 開発者ツールを起動するなるべく先頭部分にブレークポイントを設定する図 : 図後すばやく一つ前の画面に戻り再度アクセスする 7

8 図 : 図後の画面このようにロード直後に実行されるスクリプトにもブレークポイントは設定できる図 : 図後ステップ実行したところで注目部分にブレークポイントを設定する 8

図 3.2-5 : 図 3.2-4 からのつながりでここにブレークポイントを設定する図 3.2-6 : 図 3.2-5 後再度一つ前の画面に戻る図 3.

9 図 : 図からのつながりでここにブレークポイントを設定する図 : 図後再度一つ前の画面に戻る図では Referer の値に XSS 攻撃コードを仕込めそうなので実際に仕込んでみる ( 今回は診断作業として脆弱性の有無を確認できる程度のコード ) 9

10 図 : 図後の画面 1 test.html のブレークポイントで処理が一時停止する図 : 図の後の画面 2 F12 開発者ツールには DOM の状態を細かく確認できる 10

11 図 : 図 3.2-7~ 図の結果 XSS が発現した 11

12 3.3. ユーザイベント駆動型のスクリプトこの節ではボタンなどの押下処理時の DOM Based XSS に対して考察するまずは HTML のソースを確認しボタン押下などどの JavaScript 関数が呼び出されるかを確認する ( 図 3.3-1) 図から test() 関数がボタン押下によって呼び出されることから test() 関数にブレークポイントを設定しデバグ開始ボタンを押下する ( 図 3.3-2) そして HTML 上のボタン ( Display Referer ボタン ) を押下すると test() 関数が実行され指定したブレークポイントで処理が一旦停止する ( 図 3.3-3) さらにステップ実行 ( F11 キー ) すると図のようになり DOM Based XSS として注目すべき innerhtml プロパティが登場したまたその値に Referer がセットされることが分かったさらにはローカルというプロパティで DOM の状態を確認することも可能だ以上より Referer の値に XSS を引き起こすような情報を埋め込むことができれば上記のところで XSS を発生させることが可能ではないかと推定できるよって今度は XSS を引き起こすような情報を Web ブラウザが Referer として認識させることが可能かという点であるが send ボタンによって任意のクエリ文字列を与えることが可能であるため実際に (XSS を引き起こすような ) 文字列をセットし XSS を誘発してみる ( 図 3.3-5~ 図 ) 最初におこなったことはそのままのクエリ文字列を使ってみることである ( 図 3.3-5~ 図 ) つまりテキストボックスに XSS 試験用文字列を埋め込み ( 図 3.3-5) サーバへリクエストを送りページ書き換えを実施し Web ブラウザに Referer を記憶させる ( 図 3.3-6~ 図 3.3-7) その上で Display Referer を押下してみたが結果はうまく行かなかった ( 図 3.3-8) クエリ文字列が URL エンコードされてしまうことが原因である次は URL エンコードされないようにアドレス欄に直接入力してみる ( 図 3.3-9~ 図 ) まずアドレス欄に直接クエリ文字列を記述しページ書き換えを行う ( 図 3.3-9) 図の状態ではアドレス欄の URL はまだ Referer の値とはなっていないので send ボタンを押下しもう一度ページ書き換えを行い Web ブラウザに Referer として認識させる ( 図 ) この状態で Display Referer を押下げると F12 開発者ツールのブレークポイントで処理が停止する ( 図 ) さらに処理を進めた結果が図であり XSS を発現させることに成功した 12

13 図 : HTML ソースを確認するボタンクリックによって test() という関数が呼び出される図 : test() 関数にブレークポイントを設定しデバグ開始を押下する 13

14 図 : 図で設定したブレークポイントで停止する図 : 図後さらに進める ( ステップ実行は F11 ) すると注目の innerhtml と外部から書き換え可能なプロパティ document.referer が出現した 14

図 3.3-5 : 最初はテキストボックスに XSS 試験用文字列を与え send ボタンによって画面書き換えを実施する図 3.

15 図 : 最初はテキストボックスに XSS 試験用文字列を与え send ボタンによって画面書き換えを実施する図 : 図の結果再度の send ボタンによって図で入力した情報を Referer に記憶させる 15

16 図 : 図の結果次は Display Referer ボタンで Referer を表示して XSS 発現のはずだが図 : 図の結果 XSS が発現していないのはクエリ文字列が URL エンコードされていることが原因だ 16

図 3.3-9 : 次は URL エンコードされないようにアドレス欄に直接記述し画面呼び出しを行うその上で send ボタンで画面書き換えを行い現在の URL

17 図 : 次は URL エンコードされないようにアドレス欄に直接記述し画面呼び出しを行うその上で send ボタンで画面書き換えを行い現在の URL を Web ブラウザが Referer として認識させる図 : 図の結果いよいよ Display Referer をクリックする 17

18 図 : 図の結果ブレークポイントで処理が停止した図 : 図 ~ 図の結果 XSS が発現した 18

19 4. まとめ本文書の例題は非常にシンプルな DOM Based XSS であったがより実際的より現実的で複雑なものであっても同様の方法で確認することは可能であろう実際のところ多くの Web アプリケーションは未だに WEB2.0 のレベルではなく AJAX も使われていない Web アプリケーションが多いと思われるがいざ AJAX をふんだんに駆使した Web アプリケーションに対しても既存の Web アプリケーション診断の方法に加えてこのようなデバグ機能を駆使することでより精度の高いセキュリティ診断を行うことができる 5. 検証作業者 NTT コミュニケーションズ株式会社ソリューションサービス部第四エンジニアリング部門セキュリティオペレーション担当佐名木智貴 6. 参考 1. Windows Internet Explorer 8 開発者ツールを使用してサイトを修正する 2. Internet Explorer 8 の開発者ツールの概要 3. 使ってみよう! [F12] IE9 開発者ツール - HTML と JavaScript のデバッグ編 - monoe's blog 4. 使ってみよう! [F12] IE9 開発者ツールさまざまな情報の表示 - monoe's blog 5. F12 開発者ツールで Web ページをデバッグする方法 Web ページのデバッグ Web ページのトラブルシューティング F12 開発者ツール開発者ツール (Windows) 7. 履歴 2011 年 09 月 05 日 : ver1.0 最初の公開 19

20 8. 最新版の公開 URL 9. 本レポートに関する問合せ先 NTT コミュニケーションズ株式会社ソリューションサービス部第四エンジニアリング部門セキュリティオペレーション担当以上 20

SOC Report

SOC Report HTTP Status Code Pollution N T T コミュニケーションズ株式会社ソリューションサービス部第四エンジニアリング部門セキュリティオペレーション担当 2012 年 06 月 15 日 Ver. 1.0 1. 調査概要... 3 1.1. 調査概要... 3 2. HTTP RESPONSE の STATUS CODE 汚染...