XSS(クロスサイトスクリプティング)とは?仕組みと対策を図解

結論: **XSS(クロスサイトスクリプティング)**は、Webサイトの弱点を使い、そのサイトを見に来た他の利用者のブラウザで、不正なスクリプトを動かす攻撃です。原因は、入力された文字を、そのまま画面に出力してしまうこと。対策の基本は、出力する時のエスケープで、これに、CSPやCookieの設定などを重ねます。

XSSとは

XSSは、Cross-Site Scripting(クロスサイト・スクリプティング)の略です。掲示板、コメント欄、検索結果の画面など、入力した内容が、画面に表示される場所で起こりえます。

流れは、次のとおりです。

1. 攻撃者が、不正なスクリプトを、コメント欄などに入力する
2. サイトの対策が不十分で、そのスクリプトが、そのままページに含まれる
3. 他の利用者が、そのページを開く
4. 利用者のブラウザで、スクリプトが実行される

スクリプトは、そのサイトの中で動くものとして、ブラウザに扱われます。そのため、サイトの利用者として、できることが、悪用されます。

起こりうる被害

被害を受けるのは、サイトの利用者です。ただし、サイトの運営者も、信用の低下や、対応の負担という影響を受けます。

XSSの3つの種類

格納型は、ページを開くだけで、被害が広がりやすいため、特に注意が必要です。CMSやツールの脆弱性情報でも、格納型XSSは、よく報告される種類の1つです。

SQLインジェクションとの違い

SQLインジェクションの仕組みは、SQLインジェクションとはで解説しています。

対策:出力する時に「ただの文字」にする

① 出力時のエスケープ(基本)

特殊な文字を、「ただの文字」に変換してから、画面に出力します。

出力する場所(HTMLの中、属性の中、JavaScriptの中、URLの中)によって、必要な変換が違います。場所に合った方法を使います。

② フレームワークの自動エスケープを、切らない

ReactやVueなどは、標準の書き方で、自動的にエスケープします。HTMLをそのまま出力する機能(ReactのdangerouslySetInnerHTML、Vueのv-htmlなど)は、安全が確認できた文字列だけに使います。

③ HTMLを許可する場合は、専用の部品を使う

リッチテキストのように、一部のHTMLを許可したい場合は、自作の処理ではなく、サニタイズ用の、実績のあるライブラリを使います。

④ 被害を小さくする、追加の対策

入力チェックだけに頼ると、漏れが出やすくなります。出力時のエスケープを主役にして、他の対策を重ねます。

利用者ができる備え

利用者は、サイトの弱点を、直接直せません。それでも、次の備えで、被害を小さくできます。

• 不審なリンクを開かない(特に、メールやSMSのリンク)
• ブラウザと、拡張機能を、最新にする
• 重要なサービスには、多要素認証を設定する(二段階認証とパスキー)
• ログイン画面は、ブックマークや公式アプリから開く

まとめ

• XSSは、サイトの弱点を使い、他の利用者のブラウザで、不正なスクリプトを動かす攻撃
• 被害にあうのは利用者。Cookieの窃取、偽の入力欄、表示の改ざんなどが起こりうる
• 原因は、入力された文字を、そのまま出力してしまうこと。種類は、反射型・格納型・DOMベース型
• 対策の基本は、出力時のエスケープ。CSP・Cookieの設定・部品の更新を重ねる

関連記事:SQLインジェクションとは、SQLインジェクション対策、WAFとは、Cookieとは、脆弱性とは

あわせて読みたい:CSRF(クロスサイトリクエストフォージェリ)とは