1

話を簡単にするために、ブラウザ・ホストOSの脆弱性などはなかったと(考慮しないように)します。

悪意のある javascript を含むページを開いてしまった場合に、そのコード断片が実行可能なことは何になりますか? これも簡単のために、それは malicious-web.com という攻撃者独自のドメイン・サイトを閲覧してそこから実行されたとしています。

個人的にこれを聞こうと思った背景には、例えば以下のようなことが可能なのではないかと考えたからです。

  • LAN 内部でのみアクセス可能なドメイン・ホストがあり、そこに対してデータを GET して、それを malicious-web.com/storage にむかって POST する。

これが可能であったならば、「悪意のある javascript を実行すると、その client が実行されているパソコンからアクセス可能な http 通信リソースすべてを、攻撃者は取得・操作できる」と言えそうです。

では、ここから自分は理解できていないのですが、その取得できるリソースは http 通信だけでしょうか? 他の TCP/UDP 系の通信はどうでしょう? ローカルのファイルシステムはどうでしょう。 malicious-web.com ドメインのクッキーは(もちろん)取得できそうですが、その他のサイトのものはどうなのでしょうか? など。

1
  • 「実行できることは?」だと質問の幅が広すぎるので、恐らく懸念されているのはクロスドメイン周りのセキュリティに関してかと思うのでその辺りに的を絞った質問内容にした方がよいかと思います。
    – cubick
    2018年2月22日 12:15

1 件の回答 1

3

LAN 内部でのみアクセス可能なドメイン・ホストがあり、そこに対してデータを GET して、それを malicious-web.com/storage にむかって POST する。

ほとんどのAPIが同一オリジンポリシーに従って設計されているため、そういったことは不可能です。たとえば攻撃者ドメインのページがLAN内ドメインのページを <iframe> で指定しても、描画はされますがその <iframe>内の windowdocument にはアクセスできません。

ただし、<img src=...> や <script src=...> を利用すればLAN内のリソースを表示したり実行することはできます。そういうものはサーバ側の設定で防御できます。

TCP/UDP 系の通信はどうでしょう?

HTTP系以外でブラウザ環境のJavaScriptから使えるプロトコルは WebSocket ぐらいでしょうか。なぜか WebSocket は同一オリジンポリシーを適用していないそうです。これはサーバ側で制限する必要があります。
Web USB や Web Bluethooth 経由で通信させることが可能かもしれませんが、これらの API はユーザが機器への接続を明示的に許可する必要があります。

ローカルのファイルシステムはどうでしょう。

<input type=file> でユーザが指定したファイルはフォームでどこかに送ったり、JavaScriptから読むことが可能です。

Filesystem API はオリジン毎に隔離されたファイルシステムにしかアクセスできないので、とくに脅威とはならないと思います。

4
  • 同一オリジンポリシーにより、異なるオリジンに対して POST はできるが GET は基本できないのであると理解しました。
    – Yuki Inoue
    2018年2月23日 15:04
  • さらに言うと、 post するだけできるが、そのレスポンスは読めない
    – Yuki Inoue
    2018年2月23日 18:52
  • @YukiInoue POSTもできないはずです。
    – mjy
    2018年3月9日 8:19
  • @mjy developer.mozilla.org/ja/docs/Web/Security/… を読んで、 POST はできそうだ、と判断したのですが、資料読んで判断しているだけなので、もしかしたら自分が間違っているかもしれないです。
    – Yuki Inoue
    2018年3月9日 10:58

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。