渡邊です。いつもありがとうございます。
次の2点が気がかりでございます。実現性の有無やヒントなどの情報がありましたらなにとぞよろしくお願い申し上げます。
（1）教師は自分のコースにXSSを生じる攻撃コードが書けてしまいますが，Moodleの機能のみでこれを防ぐ方法はありますでしょうか。活動追加でファイルリソース追加機能しか利用しない教師がほとんどです。XSS信頼ユーザにしなくて済むように，「機能制限教師」（ファイル追加のみ可能）のユーザを設定することは可能でしょうか。
（2）埋め込み前であればWAFで検知できるのですが，ひとたび，コースに攻撃コードが埋め込まれてしまったときにそれを検知する方法がわからなくて悩んでおります。埋め込まれてしまった後の検知方法やツールに関する情報（キーワードのみでもとても助かります）がありましたらなにとぞよろしくお願い申し上げます。
動作環境 Moodle3.5.2+，CentOS7, PostgreSQL
下記のようにプログラムを修正することにより、問題のあるコードが埋め込まれたコースの該当箇所のページURLがApacheのログファイルに記録されるかと思います。
修正対象プログラム:
lib/weblib.php
修正箇所:
1273行目
[ 修正前 ]
if ($options['filter']) {
$filtermanager = filter_manager::instance();
$filtermanager->setup_page_for_filters($PAGE, $context); // Setup global stuff filters may have.
$filteroptions = array(
'originalformat' => $format,
'noclean' => $options['noclean'],
);
} else {
$filtermanager = new null_filter_manager();
$filteroptions = array();
}
switch ($format) {
case FORMAT_HTML:
[ 修正後 ]
if ($options['filter']) {
$filtermanager = filter_manager::instance();
$filtermanager->setup_page_for_filters($PAGE, $context); // Setup global stuff filters may have.
$filteroptions = array(
'originalformat' => $format,
'noclean' => $options['noclean'],
);
} else {
$filtermanager = new null_filter_manager();
$filteroptions = array();
}
if (!empty($CFG->forceclean) && preg_match('/\<script\>/i', $text)) {
if ($_SERVER["HTTPS"] == "on") {
$pageurl = 'https://';
} else {
$pageurl = 'http://';
}
$pageurl .= $_SERVER["SERVER_NAME"].$_SERVER["REQUEST_URI"];
error_log('HTML sanitization: ' . $pageurl);
}
switch ($format) {
case FORMAT_HTML: