IE6のクロスドメインスクリプティングの脆弱性を検証（NTTデータ・セキュリティ）
NTTデータ・セキュリティ株式会社は7月7日、IE6のクロスドメインスクリプティングの脆弱性についての検証を実施したと発表した。これは、IE6のウィンドウオブジェクト「location」および「location.href」のプロパティの入力検証処理にクロスドメインスクリプティングの
製品・サービス・業界動向
業界動向
検証は、IE6がインストールされたWindows XP SP2をターゲットシステムに使用した。ターゲットシステムに悪意のあるユーザが用意したサイトにアクセスさせることで、信頼できるサイトのCookieを取得する。検証に私用したスクリプトは、異なるドメインで利用しているCookieを悪意のあるユーザが用意したサイトへ送信するもの。この結果、悪意のあるユーザは取得したCookieを利用し、なりすましを行うことが可能であることが判明した。
http://www.nttdata-sec.co.jp/column/report20080707.pdf
《ScanNetSecurity》
