クロスサイトスクリプティングとは？

クロスサイトスクリプティングの意味

攻撃者が用意したスクリプトを、脆弱なWebサイトを経由して被害者のブラウザ上で実行させる攻撃。反射型（URLに埋め込む）、蓄積型（掲示板等に保存される）、DOM型（クライアント側のJavaScriptが引き起こす）に分類される。

クロスサイトスクリプティングの具体例

埋め込まれたスクリプトがCookieのセッションIDを外部へ送信し、なりすましに使われる。偽の入力フォームを描画して資格情報を盗む手口もある。

クロスサイトスクリプティングは試験でどう引っ掛けられる？

対策は出力箇所の文脈に応じたエスケープ（HTML、属性値、JavaScript、URL）。入力時の一括エスケープでは不十分。CookieのHttpOnly属性は被害の緩和策であって根本対策ではない。CSP（Content Security Policy）も有効な多層防御。

クロスサイトスクリプティングと関連する用語

• HttpOnly属性
• CSP
• CSRF

クロスサイトスクリプティングが出た過去問

• クロスサイトリクエストフォージェリ攻撃の対策として，効果がないものはどれか。

  正解：Webブラウザからのリクエストを Webサーバで受け付けた際に，リクエストに含まれる“<”や“>”などの特殊文字を，タグとして認識されない“&lt;”や“&gt;”などの文字列に置き換える。

  要点：エスケープはXSS対策で、CSRFにはトークン照合が要る

  CSRFは、利用者がログイン済みであることを悪用し、攻撃者が用意した外部サイトから正規サイトへ意図しない要求を送らせる攻撃である。対策は、その要求が正規の画面遷移に由来し利用者の意思によるものかを確認することであり、乱数トークンの照合、重要操作時の再認証、Refererの確認などが挙げられる。特殊文字のエスケープはXSS対策であって、CSRFには効果がない。

  出典：令和1年度 春期 情報処理安全確保支援士試験 am2 問10（IPA）