仕組みと攻撃手法ツイートシェアはてブLINEPocketWebアプリケーションに不正なスクリプトを実行させる攻撃手法ひとつに、クロスサイトスクリプティングがあります。Scripting:XSS)は、動的処理を実行するWebアプリケーションや、Webページの脆弱性を悪用し、個人情報などを不正に取得します。仕組みや攻撃手法について解説いたします。クロスサイトスクリプティングとはクロスサイトスクリプティング(略称、XSS)とは、ブラウザ上においてサイト管理者の意図しないHTML(スクリプトも含む)を組み込まれる攻撃手法です。Webサイトの動的なHTMLやJavaScriptに、悪意のあるHTML(スクリプト)を埋め込み、閲覧者が入力した情報を意図しない別のサイトに送信することが可能です。攻撃者は、Webサイトの脆弱性を利用し不正なコードの文字列を挿入します。Webサイトの一部に不正なコードを挿入するのですが、管理者はWebサイトが改ざんされることに気づきにくく、閲覧したユーザーが影響を受ける可能性は高くなります。クロスサイトスクリプティングの仕組みクロスサイトスクリプティングの本質的な問題は、外部からWebサイトにHTML(スクリプト)を挿入できてしまうことです。この脆弱性を利用して行われる攻撃は、ユーザーの入力に対して動的にHTMLページを生成するアプリケーションが対象になります。※静的なページでは、問題は発生しません。標的Webサイトの「スクリプトを排除しない欠陥」を介して、スクリプトが効果を発揮する形でブラウザへ戻ってくるスクリプトがブラウザで実行され、クッキー情報の漏洩、ファイルの破壊といった被害が発生するクロスサイトスクリプティングの攻撃手法クロスサイトスクリプティングは、ユーザーがWebサイトにアクセスした際に、動的に表示されるページの脆弱性を利用した攻撃です。攻撃者は、動的ページでHTMLやJavascriptを利用している部分に悪意のある不正コードを埋め込みます。攻撃手法は3つのタイプにわけられます。XSSここからは、上記3つの攻撃手法について説明していきます。XSSは、HTTPリクエスト中に含まれる攻撃コードがWebページ上で動作するタイプです。代表的な攻撃パターンとしては、検索フォームなど、Getリクエストのパラメータに含まれるscriptタグがWebページ上で動作するものがあります。特定のクエリに対してのみ動作するタイプなので、攻撃者は何らかの手段を用いて標的を特定のURLに誘導する必要があります。ここでの「特定のURL」とは、アクセスすることで脆弱なページにPOSTリクエストを自動的に送信するページのURLを指します。XSSは、HTTPリクエスト中に攻撃コードの記述があるかどうかに関係なく、あるWebページ上で持続的に動作するタイプです。例として、掲示板などの投稿中に含まれるscriptタグがそのまま動作するものがあります。その掲示板上では攻撃者が投稿したコードが動作しているため、攻撃者は標的がそのページにアクセスするのを待てばよいだけです。XSS(反射型XSS)に比べると攻撃成功のハードルは低いと言えます。標的がWebページにアクセスしてくれないと目的を達成することはできないため、標的を対象のWebページに誘導する必要があります。XSSは、Webページに記述されている正規のscriptタグにより、動的にWebページを操作した結果、意図しないスクリプトをWebページに出力してしまうタイプです。Webページに含まれる正規のスクリプトにより、動的にWebページを操作した結果、意図しないスクリプトをウェブページに出力してしまうタイプです。2013年後半から急増しています。Webブラウザなどユーザー側で実行される正規のスクリプト操作を利用した不正スクリプトの実行は、webページ出力処理(DOM操作)に問題があるために可能となる脆弱性と言えます。Model)は、HTMLドキュメントやXMLドキュメントをアプリケーションから操作するためのAPIである。W3Cが標準化しており、様々なプログラミング言語やライブラリがDOMをサポートしている。XSS」に関するレポート~JavaScriptでHTMLを操作するアプリは要注意!~関連記事クロスサイトスクリプティングの被害内容と事例クロスサイトスクリプティングの対策方法セキュリティの基礎知識クロスサイトスクリプティングこの記事が気に入ったらいいねしよう!最新記事をお届けします。ツイートシェアはてブLINEPocketfeedlyRELATEDクロスサイトスクリプティングの被害内容と事例スマホのセキュリティソフト・アプリ【ウイルス対策】RECOMMENDこちらの記事も人気です。被害を受けないためにカテゴリーセキュリティの基礎知識WebサイトあなたのWebサイトのセキュリティ対策は万全でしょうか?このページではWebサイトのセキュリティに関する情報を掲載しています。有効に活用して頂けると幸いです。