0

質問
HTMLエスケープはどういう時に必要ですか?


質問経緯
・これまで、出力直前に必ずHTMLエスケープを実施してきました。ここでいうHTMLエスケープとは、PHPの htmlspecialchars のような、htmlタグを無効化するものを想定しています
・しかし、(HTMLエスケープ処理を)必ずしも毎回実行しなくてもよいのでは? と思ったので質問します


下記ケースでは、それぞれ(出力直前に)HTMLエスケープが必要ですか?

  • a.「任意user」がフォームからPOST送信した内容を、受信後すぐにブラウザ出力
  • b.「自分」がフォームからPOST送信した内容を、受信後すぐにブラウザ出力

  • c.DBから取得した内容をブラウザ出力。※DBデータは「任意user」がフォームからPOST送信した内容

  • d.DBから取得した内容をブラウザ出力。※DBデータは「自分」がフォームからPOST送信した内容
  • e.DBから取得した内容をブラウザ出力。※DBデータはフォームを使用せずINSERTした内容
4
  • 3
    まず「HTMLエスケープ」が何を指す(と考えている)のか説明してください。
    – sayuri
    Commented 2020年5月19日 2:33
  • 1
    「任意のユーザ」や「自分」というのはあくまで人間の視点であって、プログラムやシステムから見たらどちらも同じ「ユーザ」なのではありませんか? / エスケープ自体は "HTML として解釈して欲しくない" 場面で使うものと思いますが、質問では DB とのやり取りを想定しているようにも見えます。
    – cubick
    Commented 2020年5月19日 2:37
  • @sayuri。PHPの htmlspecialchars のように(htmltタグを無効化するもの)を想定しています
    – re9
    Commented 2020年5月19日 7:06
  • @cubick。自分(悪意の可能性がない場合)でもエスケープ処理は必要か、疑問に思い質問しました
    – re9
    Commented 2020年5月19日 7:10

2 件の回答 2

4

HTML エスケープが生データ→ HTML 化の際の文字実体参照変換や数値文字参照変換であるとして

出力直前に必ずHTMLエスケープを実施してきました

で正解でしょう(セキュリティ的にもデータの再利用性向上のためにも)

データベースに格納すべきは生データです。不要な加工をしたデータを格納すると再利用しにくくなります。そして、その生データを Web UA にレンダーしてもらう場合には HTML エスケープが必須です。

  • McDonald's でも
  • <SCRIPT>alert("XSS")</SCRIPT> でも
  • ' OR 1=1 -- でも

脆弱性を発生させないよう正しく受け取り正しく表示させるために「**の都合で△△処理が必要」と考えればどこで何が必要かは自明でしょう。

http://kmaebashi.com/zakki/zakki0042.html


htmlspecialchars が「タグを無効化する」とコメントにありますが全くの誤認で、

  • text/plain なデータがあるとき(末端ユーザ/管理者のどちらが入力したかを問わず)
  • text/html にそのデータを出力したいのであれば
  • htmlspecialchars を1回だけ使うのは当たり前で使わない選択肢はあり得ない

ってだけです。結果的に「タグっぽい」文字列があってもタグでなくなるだけのこと。

TarO&JirO という text/plain なデータが (DB 内に/プログラム内に) あるとき、これを Web の向こう側にいる末端ユーザに正しく見てもらうには text/html に変換する必要があって、変換結果は TarO&amp;JirO になるだけの話。同様 <SCRIPT> って文字列を正しく見てもらうには &lt;SCRIPT&gt; に変換する必要がある。 htmlspecialchars の働きはこれだけのことです。だから最初に文字実体参照への変換と限定してるわけッス。

https://qiita.com/mpyw/items/19e6fed835ccdbcb0d6d

2

基本的には外部から入力されるデータは「ユーザの誰が」入力したかは関係なく、許可していない限りは出力する際にエスケープするべきです。

エスケープしている処理を入れているということはクロスサイトスクリプティングの脆弱性については理解しているという前提で記述します。もし、そのあたりが不明な場合はIPAの安全なウェブサイトの作り方
を参考にしてください。

a.「任意のuser」がフォームからPOST送信した内容を受信後ブラウザに出力
b.「自分」がフォームからPOST送信した内容を、受信後すぐにブラウザ出力

これらは任意のユーザであれば危険で自分であれば安全かと認識される人もいますが、これは間違いです。

例えば、ログインしている人のメールアドレスを表示するページがあった時に、そのページにXSSがあったとします。
攻撃者がそのページにXSSで相手のメールアドレスを抜き取るスクリプトを仕込み、さらにそのURLをターゲットににアクセスさせるようにリンクを作ってアクセスさせたらどうなるでしょうか?
自分がアクセスしているとしてもそれを横から抜かれるのがXSSの特徴です。

c.DBから取得した内容をブラウザ出力。※DBデータは「任意user」がフォームからPOST送信した内容
d.DBから取得した内容をブラウザ出力。※DBデータは「自分」がフォームからPOST送信した内容

これらも「ユーザの誰が」は関係なくクロスサイトリクエストフォージェリー(CSRF)の脆弱性と合わせて、XSSで攻撃される可能性があります。
CSRFはPOSTを偽装することで有効なリクエストとみなす攻撃なので、
例えば住所を変更するようなページにSCRFがあったとします。とすると攻撃者がまたも適当なページで住所を変更するPOSTを投げるように仕向けます。
そのPOSTデータを、誤って処理してしまって別のページでXSSで表示したら情報が抜かれたということが起きますね。

e.DBから取得した内容をブラウザ出力。※DBデータはフォームを使用せずINSERTした内容

ここまでで「ユーザの誰かが」と言っていましたが、この質問に関しては「システム」が出力したデータに関しての質問なので安全性が確保できているのであれば、エスケープの必要はないでしょう。

また、「許可していない限り」とあるようにユーザにHTMLを入力してもらって、出力するようなことはシステムの仕様であり得ると思います。その場合は危険なタグを除去するなどの処理が必要になりますが、往々にして非常に難しい仕様になるのでほとんどの場合はマークアップ言語を用いて運用することが多いと思います。

あくまで脆弱性とはその言葉の通り脆く弱いところでそれだけでは実はすぐには攻撃が通ったりセキュリティ事故は起こらないものもあります。ですが、放置しておくとそれらが組み合わさって大事故が起こりえます。
ぜひ日ごろから注意して、ウェブサイトを作ってみてください。

4
  • 「外部から入力されるデータ」とは、POST(あるいは)GETで送受信するデータという意味ですか? この場合はWebの仕組み上、(自分が認識しない場合でも)危険なコードが紛れ込む可能性がある、と解釈しました。逆に言えば、POSTやGETで送受信(経由)しないデータについてはHTMLエスケープは不要ですか?(それはまた別の話ですか?)
    – re9
    Commented 2020年5月19日 7:19
  • 1
    本当にWebだけでということあればPOSTとGETだけでしょうね。POSTやGETで送受信しないデータがほんとに外部のデータが混じらないのであればエスケープしなくてもよいでしょう。なぜならそれはシステムで把握しているデータのはずですし。
    – keitaro_so
    Commented 2020年5月19日 7:30
  • ちなみに私が以前担当したことあるのは、FTPでファイルを取り込む機能があったり、メールを受け取ってそれをシステムで取り込む機能があったりしましたね。
    – keitaro_so
    Commented 2020年5月19日 7:44
  • 「WebだけでということあればPOSTとGETだけ」。なるほど、良く分かりました
    – re9
    Commented 2020年5月19日 22:08

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。