JSONのクロスドメイン制約を回避する攻撃方法としては、例えば__defineSetter__を使う方法や、UTF-7を使う方法などが知られています。具体的な攻撃方法の詳細は省略しますが、いずれの方法でも、JSONを攻撃者サイト上で<script>要素を使ってJavaScriptソースとして読み込むことで、Same Origin Policyを回避し、攻撃者の用意したJavaScriptから、JSON内のデータへのアクセスを可能にしています。
XMLHttpRequestを使って、正規のWebアプリケーションのみJSONを読み込めるようにし、攻撃者サイトからの<script>によるJavaScriptソースとしての読み込みを防ぐためにはいくつかの方法があります。その場合、POSTのみに対応し、GETでのリクエストではJSONを返さないという対策をお勧めします。これは、ほかの方法に比べ副作用が小さく、後に示すJSONによるXSSへの対策にもなるからです。
<< 【二次】ポニーテール少女の画像は可愛い | ホーム | 原幹恵のハミ乳具合がエ○かった最近の雑誌まとめ 画像39枚 >>
Author:たくあんまりさ
たくあんまりさをフォロー
【ブログ管理者様へ】
当ブログについて
相互RSS依頼、随時募集中です。逆アクセスを参考に9割ほど登録させて頂きます。詳しくは当ブログについて:aboutを閲覧して頂ければ幸いです。
それではゆっくりしていってね!!
【読者様へ】
「ゆっくりしていってね!!」では毎日「海外画像」「海外記事翻訳」を配信しております。その記事以外は全て他ブログ様の記事を紹介しております。手動のアンテナです。
面白かった、スレタイで吹いたもの...etc、配信ネタは厳選しております。
「時間がなくてまとめブログのチェックなんてしてらんない!」
と嘆くそこのアナタ、「ゆっくりしていってね!!」は時間に追われる現代社会人のアナタのためのようなブログです。
それではゆっくりしていってね!!