#navi_header|技術|

先日外部のWebセキュリティの方と話していたら、DOM based XSSの話題でDOMinatorというのを教えてもらいました。メモとして参考リンクなど残しておきます。

初期：Google Codeでホスティングされてた時代：
- dominator - Community version of the DOMinator for Firefox - Google Project Hosting
-- https://code.google.com/p/dominator/

→2011年の紹介Blog：
- Minded Security Blog: The DOMinator Project
-- http://blog.mindedsecurity.com/2011/05/dominator-project.html

→現在はMinded Security社の製品として、Webセキュリティの検査員向けのツール製品として販売。Free Trialは日数限定・機能限定のお試し版。
- DOM XSS Identification. DOMinatorPro: Securing Next Generation of Web Applications
-- https://dominator.mindedsecurity.com/

→上記HPのヘッダにリンクがあった、DOM based XSSのテストケースについてのナレッジベースWikiらしい：
- domxsswiki - DOM XSS Test Cases Wiki Cheatsheet Project - Google Project Hosting
-- https://code.google.com/p/domxsswiki/

Minded Security社作成の、DOM based XSSのテストサイト：
- DOMXSS.com: interactive DOM XSS vulnerable website
-- http://www.domxss.com/domxss/

こちらは恐らくProになる前のGoogle Code時代のをGitHubに移してきたと思われる。コミットログもFirefox8時代の対応で止まっている。
- wisec/DOMinator
-- https://github.com/wisec/DOMinator


アプローチとしては、FirefoxのJSエンジンを直接改造して、入力から出力に至るまでのコードパスを解析できるようになっている。
恐らく静的解析と、実行時の挙動を捉える動的解析を組み合わせた形と想像される。

#navi_footer|技術|