18ファイルアップロードこんばんわ!世間では徳丸試験といわれている、ウェブ・セキュリティ基礎試験に挑戦しようということで、いつものごとくアウトプットで記事にまとめていきます。今回は第十八回目のファイルアップロードの脆弱性についてまとめます。・マイニング原因は下記です・アップロードファイルが公開ディレクトリに保存されること・アップロード後のファイルとしてサーバースクリプトを示す拡張子が指定できるファイルダウンロードによるXSSPDF等に埋め込まれたJSを実行するクロスサイト攻撃もあります。・ダウンロードファイルには、Content-Disposition:attachmentを指定する・ファイルやコンテンツ内容のチェック・画像として読み込めるかチェックFormCalcによるコンテンツハイジャックPDFには、FormmCalcというスクリプト言語が使用でき、正規ユーザになりすます等の攻撃が考えられます。・PDFをObject要素やembed要素では開けない仕組みを実装するここまでです。8はてなブログをはじめよう!begginerkunさんは、はてなブログを使っています。ブログを報告する引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。