【JS】location.hrefによるXSS脆弱性

指摘を受けたのでメモ。

例えば http://example.com/ に以下のようなコードを書いたとする。

var url = location.href;
document.write('<a href="' + url + '">リロードするお！</a>');

この状態でアドレスバーに http://example.com/#’>”><script>alert(0)</script> と打ち込むと、 IE8以下及びIE9互換モードの場合、alertが実行されてしまう。

対処法

clickイベントで対応する そもそも location.href を document.write() なりで直接DOMに書き出すのが問題なので。

location.href を使わない location.protocol + location.hostname + location.path をencodeURIComponent してなんとかする。

location.href から’#'以降を取り除く クエリを持ちまわしたい場合、’?'でURLを分けて、それぞれ’#'以降を取り除く。

escape してしまう なんかもうどうしても使いたい場合。

今回行った方法

以下のように String を拡張して、PHP の htmlspecialchars() のようなものを作り、location.href をエスケープする。

String.prototype.htmlspecialchars = function(){
  var string = this;
  var table = [
    [/&/g, '&'],
    [/</g, ''],
    [/>/g, ''],
    [/"/g, ''],
    [/'/g, '']
  ];
  for (var i in table) {
    string = string.replace(table[i][0], table[i][1]);
  }
  return string;
}</p>

<p>var url = location.href.htmlspecialchars();
document.write('&lt;a href=&quot;' + url + '&quot;&gt;リロードするお！&lt;/a&gt;');

結論

location.href をDOMに直接書き込まないのが一番。 jQueryなりを使えばそんなに苦じゃないはず。

参考 複数のニュースサイトで外部サイトにシェアするボタンの実装方法に問題がある件 dom based xss の発見と駆除と予防について