脆弱性の種類クロスサイトスクリプティング

COLUMN コラム

脆弱性の種類　クロスサイトスクリプティング

前回のSQLインジェクションに続き、Webアプリケーションの中で最も有名な脆弱性の一つであるクロスサイトスクリプティングについて説明していきます。

■概要
Webアプリケーションはユーザからの様々な入力情報を処理し、Webページとして出力するものがあります。
その際、Webページの出力処理に不備があるとスクリプトを実行してしまう恐れがあります。
攻撃者はこの不備を利用して、ユーザに悪意あるスクリプトを実行させようとします。

■想定される被害
クロスサイトスクリプティングによって生じる被害には、以下のようなものがあります。
どのような被害を受ける可能性があるかあらかじめ把握しておき、攻撃を受けないように対策を検討することが必要です。

・Webサイトの改ざん
・偽サイトへの誘導によるフィッシング
・ブラウザに保存しているCookieの取得（セッションハイジャック）

■対策
クロスサイトスクリプティングの対策として挙げられるものは以下のようなものとなります。

・サニタイジング(スクリプトの無害化)を行う。
・入力値をチェックして、制限する。
・WAF（Web Application Firewall）を導入する。