inputタグに入力された数値を安全にするには？

質問

https://okwave.jp/qa/q9366264_2.html?by=agree#a_area
の続き

inputタグに入力された数値や数式を計算するjsを実装したのですが、
悪意のあるコードを入れられるとサイトがクラッキングされて、ウイルスが仕込まれる危険性があある
と聞き急きょ公開を止めているのですが、具体的に入力されたものをどうすると安全になるのでしょうか？
具体的にソースを教えていただければ幸いです。

ボットが自動的に行って、自分のサイトにウイルスが仕込まれていたり、する可能性が既に0ではないのですか？
それであれば確認する必要があるのですが、もし良い方法があれば教えていただければ幸いです。
宜しくお願い致します。

具体的にどうするかがわからないのですが、
http://www.24w.jp/study_contents.php?bid=javascript&iid=javascript&sid=string&cid=006
のように入力情報が該当する文字化確認して。該当した場合のみ処理を実行するという事でしょうか？

もう少し具体的にソースを見せてもらえませんでしょうか？

回答No.34

amanojaku1 · ベストアンサー

>回答No.32　amanojaku1

訂正です、括弧に対応していませんでした。
正規表現は下記の方が適切です。
超簡易式の処理です、要点は(式として成立しているかではなく)コマンドが実行されないようになっているか？、が重要です。
(断定はできませんが)これならJavaScriptのマクロのような構文も実行できないと思われます。
JavaScriptのマクロのような構文については分かりませんので、別の質問にしてみたら どうでしょうか？

「四則演算子、数字、括弧」以外は削除されます。<br>
また式として成立しない文字列は計算できません。<br>
<input type="text" name="gakunen" value="" onKeyPress="Calculator(this.value, event.keyCode)">

<script type="text/javascript">
<!--
function Calculator(a, kcode){
var r;
if (!(13==kcode)){return;}
// ↑「13：Enterキー」でない場合は「return」
r = a;
r = r.replace(/[ ]*([\-\/\*\+])[ \-\/\*\+]*/g, '$1');
r = r.replace(/^([ ]*[\/\*\+][ \-\/\*\+]*)/g, '');
r = r.replace(/([^0-9\.\-\/\*\+\(\) ]+)/g, ' ');
r = r.replace(/([ ]+)/g, ' ');
try{
alert(r+' = '+eval(r));
}catch(ex){
alert(ex.message+' : '+r);
}
}
// -->
</script>

回答No.3

amanojaku1

>回答No.2　amanojaku1

>入力されたものをどうすると安全になるのでしょうか？

敵の目的はウイルスに感染させる事なので、入力の値が改ざんされる訳ではありません。

>自分のサイトにウイルスが仕込まれていたり、する可能性が既に0ではないのですか？

基本的にメジャーなサイトが標的にされますね。
マイナーなサイトのページにマルウェア(悪意のあるコード)が仕込まれたと言う話は聞いた事はありませんが、無いとも言い切れないかもしれません。

回答No.2

amanojaku1

マルウェア(悪意のあるコード)がページに仕込まれたら、(ブラウザなどにセキュリティホールが在れば)そのページをブラウザが読み込んだ瞬間に感染するので、inputタグの入力が どうとか言うレベルの話ではありません。
なのでPCにアンチウイルス・ソフトを入れるのは常識です。

回答No.1

t_ohta

＞　具体的に入力されたものをどうすると安全になるのでしょうか？

まず、何を入力させるのか仕様を決め、その仕様に沿った入力内容か確認を行った上で処理を実行します。

例示されているURLにあるように、一般的には正規表現という手法を用いて入力値が仕様に沿ったモノか判定し、仕様に合わない場合はエラーメッセージを表示するなどして処理を中断します。
「ポイント」と言う所の「// 正規表現チェック」でやっているように、正規表現で入力値を評価し、正規表現に合う入力値なら結果が TRUE になるので処理を続行、結果が FALSE なら想定している入力値に合わない内容なので処理を中断すると言った事を行います。

あとは、こう言ったモノも参考にして下さい。
https://www.ipa.go.jp/security/vuln/websecurity.html