DropboxでJavaScriptが動くという話

　.jsファイルはテキストとして表示されるだけなのだが、HTMLファイルをきちんと解釈するなら<script>で記述したJavaScriptは動くのでは？と思って検証。

<html>
<head>
  <script language="javascript">
    document.write('aaa');
    window.alert('bbb');
  </script>
</head>
<body>
  <p>Test</p>
<body>
</html>

　このファイルを共有してURLにアクセスすると、見事なまでにAlertBoxが表示され「aaa」も出力される。

　私はJavaScriptに詳しい方ではないのだが、これを利用するとDropboxのCookieが読み出されて、自分のDropbox内にあるファイルを勝手に読み出されてしまう可能性があったりするのではなかろうか？

　一言で言えばクロスサイトスクリプティング(XSS)が心配。 (最初からそう言えよ)。

　詳しい人の検証求む。

【追記】

　西村さんが「勉強会で Dropbox を検証」という記事でDropboxでの検証用ファイルを公開してくれたので、興味のある方はチェックを。

　この検証用ファイルはAlertBoxが1つ出て、document.writeで少量のテキストを書き込んでいるだけだが、悪意のある人が何かを仕掛けていたとしたら危険なので、知らない人の公開URLはうかつにクリックしない事をお勧めする。

Permalink | コメント(1) | トラックバック(0)

コメントを書く

こばさん 2009/10/22 13:15 古い記事へのコメントで失礼します。
document.write(document.cookie);
でクッキーが表示されません。
それもそのはず、ホスト名が dl.getdropbox.com ですから。

投稿したコメントは管理者が承認するまで公開されません。

スパム対策のためのダミーです。もし見えても何も入力しないでください

画像認証

トラックバック - http://d.hatena.ne.jp/hiko_s/20081122/p6

idトラックバック

勉強会で Dropbox を検証

リンク元

		2008/11
日	月	火	水	木	金	土
						1
2	3	4	5	6	7	8
9	10	11	12	13	14	15
16	17	18	19	20	21	22
23	24	25	26	27	28	29
30

兼業主夫 ときどき 指揮者 のち ギーク？

2008-11-22

兼業主夫ときどき指揮者のちギーク？