�P���ł͂Ȃ��A�ŐV�u�N���X�T�C�g�X�N���v�e�B���O�v�����FHTML5����́u�V�����Z�L�����e�B�E�G�`�P�b�g�v�i2�j�i1/3 �y�[�W�j

�A�ږڎ�

�@�F���񂱂�ɂ��́B�l�b�g�G�[�W�F���g�̂͂�����悤�����ł��B��1����́AWeb�A�v���P�[�V�����Z�L�����e�B�̋��E�����ł���I���W���Ƃ����T�O�ɂ‚��Đ������܂����B

�@���݂�Web�u���E�U�[�ł́A����I���W���̃��\�[�X�͓����ی�͈͂ɂ�����̂Ƃ��A�I���W���𒴂����A�N�Z�X�ɂ‚��Ă̓��\�[�X�̒񋟌��������I�ɋ��‚��Ȃ�����̓A�N�Z�X�ł��Ȃ��Ƃ����A�u����I���W���|���V�[�iSame-Origin Policy�j�v�ɏ]���ă��\�[�X��ی삵�Ă��܂��B

�@���̕ی�͈͂ł���I���W���𒴂��A���\�[�X�ɃA�N�Z�X����U���̑�\����ł���N���X�T�C�g�X�N���v�e�B���O�iXSS�j�ɂ‚��āA����A����ю����2��ɕ����AHTML5�ɂ����Ă�荂�x�����ꂽ�U���ƁA���̑΍��������܂��B

XSS�̎��

�@XSS�́A�傫��������Ɓu���ˌ^XSS�v�u�~�ό^XSS�v�uDOM Based XSS�v��3��ނ�����܂��B���ꂼ���������܂��B

���ˌ^XSS

�@���ˌ^��XSS�Ƃ́A���N�G�X�g���Ɋ܂܂��U���҂̗p�ӂ����X�N���v�g�i���邢��HTML�f�Ёj���A���̂܂܃��X�|���X�Ɋ܂܂�Ĕ�������^�C�v��XSS�ł��B

�@�T�^�I�ȗ�Ƃ��ẮA�����y�[�W�ł�XSS��A�₢���킹�t�H�[���̊m�F��ʂł�XSS�Ȃǂ�����܂��B�ŋ߂�Web�u���E�U�[�ł́A�}�C�N���\�t�g��Internet Explorer��XSS�t�B���^�[�̂悤�ɁA���ˌ^XSS���ɘa���邽�߂̎d�g�݂��g�ݍ��܂�Ă�����̂�����܂��iXSS�t�B���^�[�̏ڍׂɂ‚��Ă͍���̘A�ڂł��������\��ł��j�B

�~�ό^XSS

�@�~�ό^XSS�i���邢�͎����^XSS�j�Ƃ́A�U���҂̗p�ӂ����X�N���v�g����������Web�T�[�o�[���Ɋi�[����A����̃y�[�W���Q�҂��J�����ꍇ�ɂ��̃X�N���v�g�����s����Ă��܂��^�C�v��XSS�ł��B

�@�T�^��Ƃ��ẮAWeb���[����f���‚ł�XSS���������܂��B�~�ό^��XSS�́A�U�����d�|�����^�C�~���O�Ǝ��ۂɔ�Q����������^�C�~���O�Ɏ��ԍ��������Ă����̒ʂ�i�������čU������������ȂǁA���ˌ^XSS�ɔ�ה�Q���傫���Ȃ邱�Ƃ������ł��B

DOM Based XSS

�@���ˌ^XSS�A�~�ό^XSS�̌����̂قƂ�ǂ́AWeb�A�v���P�[�V�����ɂ����ăT�[�o�[���HTML�𐶐������ۂ̃G�X�P�[�v�R��ł����ADOM Based XSS�̓T�[�o�[��ł�HTML�������̂��̂ɂ͖��͂Ȃ��A���̌�u���E�U�[���HTML��\����JavaScript�����s���ꂽ�Ƃ��ɁAJavaScript��̃R�[�h�ɐƎ㐫�����邽�߂ɔ�������XSS�ł��B

�@�Ⴆ�΁Adocument.write( document.referrer ); �Ƃ���JavaScript�R�[�h�ł́A�U���҂͔�Q�҂�http://example.com/?<script>alert(document.domain);</script> �̂悤��URL����U���ΏۃT�C�g�փA�N�Z�X�����邱�Ƃɂ���āA�U���p��JavaScript�R�[�h�����t�@���[���Ɋ܂߁A��Q�҂̃u���E�U�[��Ŏ��s�����邱�Ƃ��”\�ƂȂ�܂��B

HTML5�ɂ���đ�������XSS

�@HTML5�ł́A�����̐V����HTML�v�f�⑮������������Ă��邱�Ƃɉ����AWeb�A�v���P�[�V�����Ƃ��Ă̏����̃u���E�U�[���ւ̃V�t�g�ɔ����AJavaScript�R�[�h�ʂ������������ƂȂǂ����܂��āA�]���̒P����XSS�ȊO�ɂ��ȉ��̂悤��XSS�������A��������X��������܂��B

�@�ȉ��A���ɉ�����Ă����܂��B

HTML5�̐V�����v�f�A�����ɂ��XSS

�@HTML5�ł͑����̐V�����v�f�⑮������������A�u���E�U�[��ł̕\���͂̌���⍂�@�\���̎x���ƂȂ��Ă��邱�Ƃ͎��m�̒ʂ�ł����A�U���҂ɂƂ��Ă����p�ł���v�f�⑮�������������Ƃ������ƂŁA����܂łƂ͈قȂ������@��XSS�𔭐������邱�Ƃ��ł��܂��B

�@�Ⴆ�΁A���[�U�[�����͂��������񂩂�<script>�A<object>�A<iframe>�Ȃǂ�XSS�ɒ�������v�f��onmouseover�Aonerror�Ȃǂ́uon�v�Ŏn�܂�C�x���g�n���h���[���w�������Ahref�Ȃǂ�javascript�X�L�[�������ł��鑮���Ƃ������A�댯�����ȕ������T���o���A������S�č폜����悤��Web�A�v���P�[�V�������������Ƃ��܂��B

�@���̕��@�͑΍����@�Ƃ��ĊԈ���Ă��܂����A���ɂ��̕��@�ɂ���đS�Ă̊댯�����ȕ������T���o���A�폜���邱�Ƃ�XSS��h�����Ƃɐ������Ă����Ƃ��܂��i���ۂ�Web�A�v���P�[�V�����ł͌����Ă��̕��@���̂�Ȃ��ł��������j�B

�@���̏ꍇ�ł����Ă��AHTML5�ɂ���ē������ꂽ�v�f�A�����ɂ���čU���҂͊ȒP��XSS�𔭐������邱�Ƃ��ł��܂��B��\�I�Ȃ��̂Ƃ��Ă�button�v�f��input�v�f�itype="submit"�̏ꍇ�j�ɂ�����formaction����������܂��B

<form>
    <button formaction="javascript:alert(0)">Click</button>
    <input type="submit" formaction="javascript:alert(1)">
</form>

�@���̂悤�ɁA���[�U�[�̓��͂���댯�ȗv�f�⑮�������o���č폜����Ƃ��������@�ł́A�V�����lj����ꂽ�v�f�⑮���ɂ���Ĕ�������XSS��h�����Ƃ͂ł��܂���B