JPG・MHTMLハイブリッドファイルによるXSS

発見日:2004年05月09日
未対策(2004年05月23日現在)

●概要
 JPG画像に埋め込んだHTMLを表示させることによるクロスサイトスクリプティング

●影響を受ける環境
・ログイン情報のCookieが記録されているドメイン内に自由にJPGファイルをアップロードできるサイト
・Internet Exoplorer 5.0〜
(テスト環境:Windows Me, Internet Explorer5.5SP2)

●方法
 JPGファイルをMHTMLドキュメントとも認識できるように、次のようなコードをJPGコメントとして書き込んだJPGファイルを、mhtml:プロトコルを使ってmhtmlドキュメントとして表示することができます。これにより、埋め込んだスクリプトが実行でき、Cookieを抜き取ることが出来ます。

サンプル(gooBLOG)

●危険性
・悪意のあるWebサイトに誘導されることで、Cookieが漏洩し、他人が貴方になりすましてWebサービスを利用する危険があります。

●対策法
・Webブラウザをスクリプトを実行しない設定にすれば、危険はなくなります。


戻る