クロスサイトスクリプティングとは？

クロスサイトスクリプティングの意味

攻撃者が入力欄などを通じてスクリプトを仕込み、それが他の利用者のブラウザ上で実行されてしまう脆弱性を突く攻撃。クッキーの窃取や偽の入力画面の表示に悪用される。

クロスサイトスクリプティングの具体例

対策の要は、HTMLとして出力する時点で特殊文字をエスケープすること。クッキーにHttpOnly属性を付ければスクリプトからの読出しを防げる。

クロスサイトスクリプティングは試験でどう引っ掛けられる？

対策は「入力時の検証」よりも「出力時のエスケープ」が本質。クロスサイトリクエストフォージェリ（CSRF）は、利用者に意図しない要求を送信させる別の攻撃で、トークンの照合が対策になる。

クロスサイトスクリプティングと関連する用語

• SQLインジェクション
• セションハイジャック

クロスサイトスクリプティングが出た過去問

• WAFの説明として，適切なものはどれか。

  正解：特徴的なパターンが含まれるかなどWebアプリケーションへの通信内容を検査して，不正な操作を遮断する。

  要点：WAFはHTTPの中身を検査してWeb攻撃を遮断する

  WAF（Web Application Firewall）はHTTPの通信内容そのものを検査し、SQLインジェクションやクロスサイトスクリプティングに特徴的なパターンを検出して遮断する。IPアドレスやポートで制御する通常のファイアウォールと違い、アプリケーション層のリクエスト内容を見る点が特徴である。

  出典：平成28年度 春期 高度共通_午前I試験 am1 問13（IPA）

• WAFの説明はどれか。

  正解：Webアプリケーションへの攻撃を監視し阻止する。

  要点：WAFはアプリケーション層でWeb攻撃を検知・遮断する

  WAF（Web Application Firewall）はHTTPリクエストやレスポンスの内容を検査し、SQLインジェクションやクロスサイトスクリプティングなどWebアプリケーションを狙う攻撃を検知して遮断する。通常のファイアウォールがIPアドレスやポートで制御するのに対し、アプリケーション層の中身を見る点が違いである。

  出典：平成29年度 秋期 高度共通_午前I試験 am1 問15（IPA）

• クロスサイトスクリプティング対策に該当するものはどれか。

  正解：Webページに入力されたデータの出力データが、HTMLタグとして解釈されないように処理する。

  要点：XSS対策の要は出力時のエスケープ処理

  クロスサイトスクリプティング（XSS）は、利用者の入力した文字列がそのままWebページに出力され、スクリプトとして実行されてしまうことで成立する。したがって対策の中心は出力時のエスケープ処理であり、<や>、&などをHTMLタグとして解釈されない文字参照に変換することが該当する。

  出典：平成30年度 秋期 高度共通_午前I試験 am1 問13（IPA）

• クロスサイトスクリプティングの手口はどれか。

  正解：Webアプリケーションのフォームの入力フィールドに、悪意のあるJavaScriptコードを含んだデータを入力する。

  要点：XSSは入力欄にスクリプトを仕込み他の利用者に実行させる

  クロスサイトスクリプティングは、Webアプリケーションが利用者の入力をそのままページに出力してしまう欠陥を突き、入力欄に悪意のあるスクリプトを埋め込む攻撃である。そのページを閲覧した別の利用者のブラウザ上でスクリプトが実行され、Cookieの窃取や偽の入力画面の表示などが起こる。

  出典：平成30年度 春期 高度共通_午前I試験 am1 問12（IPA）

• WAFの説明はどれか。

  正解：Webアプリケーションへの攻撃を検知し、阻止する。

  要点：WAFはWebアプリ層の攻撃を通信内容から検知して遮断する

  WAF（Web Application Firewall）は、HTTP/HTTPSの通信内容を解析し、SQLインジェクションやクロスサイトスクリプティングなどWebアプリケーション層への攻撃を検知・遮断する仕組みである。パケットのヘッダだけを見る従来型ファイアウォールでは防げないアプリケーション固有の攻撃に対応する点が特徴である。

  出典：令和1年度 春期 高度共通_午前I試験 am1 問15（IPA）