CSSXSSでBasic認証も、無防備に

CSSXSSに関する日記の続きです。

友人のゆきのぶ君とCSSXSSについて話していて、これを使うとBasic認証を素通りできることを彼が発見してくれました。

例えば、

1. １. Basic認証（ダイアログがでて、ユーザー名、パスワードを入力するもの）で、サイトAに入る
2. 2. 悪質なサイトBに、気づかず入ってしまう
3. 3. サイトAを再び見たくなって、サイトAを再び開く。
4. 4. サイトAは、一度入力したパスワードをブラウザが記憶しているので認証は素通り

というシナリオが危険になってきます。3．の状態で、サイトAを開いたときに危険があります。例えば、サイトBはgoogle検索、デスクトップ検索のようなものだとします。 その検索機能を使ってサイトAを探して、サイトAに入ると、表面上は何も変わらないサイトAにCSSXSSコードが埋め込まれている可能性があります。

あるいは、これを悪用したプラグインが出回ってIEにインストールされてしまうと、どんなページを開いてもCSSXSSのコードが埋め込まれ、悪い人がターゲットにしたいようなBasic認証がかかっているサイトの中身のデータをどんどん吸い上げられる可能性があります。

怖すぎます。