adiary manual

■対外部ユーザー＝アカウント非保持者

• コメント欄、TBなどのtag記号<, >, "はすべてエスケープ。
• USER_AGENT, DNS逆引きホスト名内のタグ文字などをエスケープ。
• PATH_INFOなどの文字列は、エスケープなしに（表示等に）使用しない。
• CSSXSS対策。「{」を「&#123;」に置き換える。

■対内部ユーザー＝アカウント保持者

• 日記内や日記の紹介、RSSなどで使用可能なタグと属性値をホワイトリスト式とする。
• タグの href, src, site, cite, action属性では、登録されたプロトコル以外で始まるリンクを消去*1。相対パスの場合は"./"を付加。
• タグの最後の属性値が0x80以上の文字で終わる場合、スペースを付加するかさらに後ろにダミーの属性値xss=""を追加する（EBXSS対策）。

■スタイルシートXSS対策

日記本文内の style="" 指定

1. \, @記号および、0x00〜0x1fの制御コード、0x80〜0xffまでの文字コード（全角文字など）を除去
2. /*, */, &#, script, java, exp, eval, cookie, includeといった文字列が完全になくなるまで除去*2

ユーザースタイルシート内

1. TAB, LF以外の制御文字を除去する。
2. コメントを最初に退避し、"*/"を"*/ "に置き換える。
3. "〜"といった文字列（改行を含む）を退避し、文字列内から改行を除去*3、さらに日本語文字で終わる場合はスペースを付加する。（EBXSS対策）
4. ", ', *, #を除く文字の、手前に付く\ 記号を除去する。
5. 0x80〜0xffのコード（全角文字など）をすべて消去する。
6. /*, */, &#, script, java, exp, eval, cookie, includeといった文字列が完全になくなるまで除去する。
7. TAB や LF を間に挟んだ上記の記号列が１つでも存在する場合、TABやLFの手前にスペースを１つ追加する。
8. url() が正しいかチェックする。相対リンクの場合は"./"を先頭に付加する。
9. 文字列を復元する。
10. コメントを復元する。

■参考文献

• はてなダイアリーXSS対策
• はてなブックマーク - CSRF
• はてなブックマーク - XSS
• はてなブックマーク - CSSXSS
• IE における "expression" の過剰検出による XSS の 誘因
• 通常とは異なる記述の javascript: プロトコルが実行される(microsoft) … TABの代わりにスペースや改行でも同様に解釈されるので注意。

■スクリプト側で対応不可能な既知のIE脆弱性

• mhtmlを使ったAjax風味で同様にデータ盗用方法
• object.documentElement.outerHTMLプロパティ処理の脆弱性（IE）
• IEの画像脆弱性 （対応困難、対応保留中）