押さえておきたい IE8 のセキュリティ新機能

押さえておきたいIE8のセキュリティ新機能 はせがわようすけ第01回まっちゃ４４５目覚まし勉強会ライトニングトーク http://utf-8.jp/

さて

ここで、Web 2.0世代の 皆様に問題です

Quiz. どちらがWeb2.0的か？

本題

IE8のセキュリティ新機能 Webアプリ向けに多数の改善 • XSSフィルター • Cross-Document Messaging • XDomainRequest • toStaticHTMLメソッド • JSONパーサ • Content-Type無視の改善

XSS Filter 明らかな攻撃的スクリプトをブロック文字コード関連のXSSも一部ブロック! GET /?q="><script>alert... HTTP/1.1 HTTP/1.1 200 OK Content-Type: text/html <html> <input type="text" value=""><script>alert... "> </html>

Cross-Document Messaging • iframe間でメッセージのやり取りを実現 • クロスドメインでも通信可能 • 双方向でメッセージの送受信が可能 • 送信側: postMessage()メソッド • 受信側: onmessage イベントハンドラ • JSONPより安全にデータの受け渡しができる

XDomainRequest • XMLHttpRequestみたいなやつ • クロスドメインでも読み込み可能クライアント側 var XDR = new XDomainRequest(); xdr.open( "POST", "http://example.com/xdr.txt" ); xdr.send( "post data" ); サーバ側 HTTP/1.1 200 OK Content-Type: text/plain XDomainRequestAllowed: 1

toStaticHTMLメソッド • 文字列中の「動的」な部分を削除 • 静的なHTMLはそのまま残る var s = "<div>Hello<script>alert(1)</script></div>"; var t = toStaticHTML( s ); elm.innerHTML = t; <body> <div id="content"> <div>Hello</div> </div> </body>

JSONパーサ • リモートからのJSONはeval()したくない! • 安全なJSONパーサの組み込み簡単・安全にJSONのパースができる! var jsonString = '{ "name" : "hasegawa" }'; var obj = JSON.parse( jsonString );

Content-Type無視の改善 画像は画像。HTML扱いしない! Image/* は必ず画像として扱う! HTTP/1.1 200 OK Content-Type: image/bmp <html> <script>alert(1)</script> </html> 壊れた画像となる

Content-Type無視の改善 魔法の呪文ようやく呪縛から解放! HTTP/1.1 200 OK Content-Type: text/plain; authoritative=true; <html> <script>alert(1)</script> </html> テキストファイルとして表示

続きは大阪で 検索 Admintech.jp 検索

Admintec.jp大阪勉強会 • ２００８年９月２７日 • マイクロソフト大阪オフィス　セミナールーム • IE8の裏話もいっぱいあるよ http://admintech.jp/ 　　／￣￣＼　／　　 _ノ　　＼ |　　　（ ●）（●） .|　　　　（__人__）　　大阪まで聞きに来るべきだろ… |　　　　　｀ ⌒´ﾉ　　　常識的に考えて… .|} .　ヽ　　　　　　 } 　　ヽ　　　　　ノ　　　　　　　　＼ /　　　く　　＼　　　　　　　＼ |　　　　＼　＼　　　　　　　＼ ||ヽ、二⌒)､　　　　　　　＼

押さえておきたい IE8 の セキュリティ 新機能