技術/Security/DOM based XSS メモ1(DOMinator)

• [ Prev ]
• [ Next ]
• [ 技術 ]

先日外部のWebセキュリティの方と話していたら、DOM based XSSの話題でDOMinatorというのを教えてもらいました。メモとして参考リンクなど残しておきます。

初期：Google Codeでホスティングされてた時代：

• dominator - Community version of the DOMinator for Firefox - Google Project Hosting
  • https://code.google.com/p/dominator/

→2011年の紹介Blog：

• Minded Security Blog: The DOMinator Project
  • http://blog.mindedsecurity.com/2011/05/dominator-project.html

→現在はMinded Security社の製品として、Webセキュリティの検査員向けのツール製品として販売。Free Trialは日数限定・機能限定のお試し版。

• DOM XSS Identification. DOMinatorPro: Securing Next Generation of Web Applications
  • https://dominator.mindedsecurity.com/

→上記HPのヘッダにリンクがあった、DOM based XSSのテストケースについてのナレッジベースWikiらしい：

• domxsswiki - DOM XSS Test Cases Wiki Cheatsheet Project - Google Project Hosting
  • https://code.google.com/p/domxsswiki/

Minded Security社作成の、DOM based XSSのテストサイト：

• DOMXSS.com: interactive DOM XSS vulnerable website
  • http://www.domxss.com/domxss/

こちらは恐らくProになる前のGoogle Code時代のをGitHubに移してきたと思われる。コミットログもFirefox8時代の対応で止まっている。

• wisec/DOMinator
  • https://github.com/wisec/DOMinator

アプローチとしては、FirefoxのJSエンジンを直接改造して、入力から出力に至るまでのコードパスを解析できるようになっている。
恐らく静的解析と、実行時の挙動を捉える動的解析を組み合わせた形と想像される。

• [ Prev ]
• [ Next ]
• [ 技術 ]