ワンタイムURLでCSSXSSは防げる？(2）- URLへのマッピング

前回はクエリーストリングでトークンを渡していましたが、トークンをURLに埋め込むにはconfig/routes.rbでURLマッピングを指定します。

ActionController::Routing::Routes.draw do |map|
  # The priority is based upon order of creation: first created -> highest priority.

  # Sample of regular route:
  # map.connect 'products/:id', :controller => 'catalog', :action => 'view'
  # Keep in mind you can assign values other than :controller and :action

  # Sample of named route:
  # map.purchase 'products/:id/purchase', :controller => 'catalog', :action => 'purchase'
  # This route can be invoked with purchase_url(:id => product.id)

  # You can have the root of your site routed by hooking up ''
  # -- just remember to delete public/index.html.
  # map.connect '', :controller => "welcome"

  # Allow downloading Web Service WSDL as a file with an extension
  # instead of a file named 'wsdl'
  map.connect ':controller/service.wsdl', :action => 'wsdl'

  # Install the default route as the lowest priority.
  map.connect ':controller/:action/:id'
  map.connect ':controller/:action/ot/:token'

end

あいだに"/ot/"が挿入してありますが、これが無いと最後が:idなのか:tokenなのかが判断が付かなくなるからです。

これで、http://localhost/user/welcome/ot/aad2107a962b1d7a5f3d29dde27c5517
のようにURLにトークンが埋め込まれるようになります。

ワンタイムURLでCSSXSSは防げる？（１）

前にも書きましたが、ネット上ではCSRFとCSSXSSは絡み合って議論されており難しくてよく分かりません。

結局ワンタイムURLを導入すれば大方は解決するんじゃないかとおもうんですがどうでしょう？ということでざっくり作ってみました。

RoRはリクエストのルーティングという機能があってURLのマッピングルールを簡単にカスタマイズできます。

ワンタイムURLを導入するのは比較的簡単だと思います。続きを読む

セキュリティ対策の調査

•  SQLインジェクション
•  セッション固定攻撃(Session Fixation)
•  セッションハイジャック
•  XSS
•  CSSXSS
•  CSRF

ネットセキュリティに関して調査を開始しました。

これらのキーワードでググればいろいろ出てきますが、どうも今ひとつ分かりません。
特にCSSXSSが良く分からない。（いや理屈は分かりますよ。。）

続きを読む