クロスサイトスクリプティング(XSS)とは｜対策

概要

クロスサイトスクリプティング（XSS：Cross Site Scripting）とは、脆弱なWebサイトに悪意あるスクリプト（JavaScriptなど）を埋め込み、そのサイトを閲覧した利用者のブラウザ上で実行させる攻撃です。攻撃の対象はサイトを訪れた利用者である点が特徴です。

掲示板やコメント欄、検索結果など、利用者の入力をそのままページに表示する仕組みに脆弱性があると、攻撃者が仕込んだスクリプトが他の利用者の画面で動き、Cookie（セッション情報）の窃取・偽の入力フォーム表示・サイト改ざんなどを引き起こします。

詳細（仕組み・種類）

盗まれたCookie（セッションID）を悪用されると、セッションハイジャックによるなりすましにつながります。

対策

• 利用者の入力を表示する際にエスケープ処理（サニタイジング）を行い、スクリプトを無効化する。これが根本対策。
• 入力値の検証（許可する文字種に限定）。
• CookieにHttpOnly属性を付け、スクリプトからの読み取りを防ぐ。
• CSP（Content Security Policy）でスクリプトの実行元を制限する。
• WAFで不正なスクリプトを含む通信を検知・遮断する。

インシデント事例

会員サイトでのCookie窃取

格納型XSSの脆弱性を突かれ、投稿に仕込まれたスクリプトで閲覧者のセッションCookieが盗まれ、アカウントを乗っ取られる事例があります。HttpOnly属性の設定漏れが被害を拡大させました。

フィッシングと組み合わせた偽フォーム表示

正規サイト上にXSSで偽の入力フォームを表示し、利用者のID・パスワードを盗む手口もあります。正規ドメイン上で動くため利用者が気づきにくいのが厄介です。

試験での問われ方

• 「Webサイトに不正スクリプトを埋め込み閲覧者のブラウザで実行させる攻撃はどれか」→ XSS。
• 「XSSの対策として有効なものはどれか」→ エスケープ処理・CSP・HttpOnly。
• SQLインジェクションやCSRFとの違いを問う識別問題。