セキュリティ

クロスサイトスクリプティング（XSS）

XSSは、攻撃者が悪意のあるスクリプトを正規のWebサイトに混入させ、閲覧者のブラウザーで実行させる攻撃です。入力を無害化せずに表示することが原因になります。

概要

クロスサイトスクリプティング（XSS）攻撃とは、攻撃者が対象となるウェブサイトに、そのサイトの一部であるかのように悪意のあるコードを取得させ、実行させる攻撃である。
XSS攻撃は、サイトが攻撃者によって細工された可能性のある入力を受け入れ、その入力をサニタイズ（無害化）せずにページに表示することで成立する。

XSSは、Webサイトの表示の仕組みを悪用し、攻撃者のコードを閲覧者のブラウザーで動かす攻撃である。MDNの用語集は、対象サイトの一部であるかのように悪意のあるコードを実行させると説明している。

入力された文字をそのまま画面に出すサイトでは、攻撃の入口になりやすい。入力値をページに出す前に、HTMLとして解釈されない形に変換することが基本の対策になる。

フォームの入力、URLのパラメーター、コメント欄など、外部から来る値を表示する箇所を洗い出して確認するとよい。OWASPの一覧で、分類と対策の考え方を確かめられる。