能動的攻撃と受容的攻撃webアプリケーションに対する攻撃は、能動的攻撃と受動的攻撃に分類される。attack)とは、攻撃者がwebサーバに対して直接攻撃すること。罠を閲覧したユーザを通してアプリケーションを攻撃すること。罠サイトに利用者を誘導する。典型例は怪しいサイトを閲覧してマルウェア(ウイルスなどの不正プログラム)に感染すること。JREなどのプラグインの脆弱性をついた攻撃が発生している。攻撃者はあらかじめ正規サイトを攻撃してマルウェアを仕込む。正規サイトの利用者が仕掛けを含むコンテンツを閲覧し、マルウェアに感染する。情報漏洩や不正操作などが行われる。正規サイトを悪用した受動的攻撃は、単純なパターンに比べ手間がかかるが、攻撃者にとってメリットが大きい。そのメリットは下記の通り。罠サイトと正規サイトをまたがった攻撃。利用者が罠サイトを閲覧する罠サイトから仕掛けを含むHTMLをダウンロードするHTMLの仕掛けあ発動して正規サイトに攻撃のリクエストを送信する正規サイトからjavascriptなどの仕掛けを含むレスポンスが返るこのパターンの特徴は、正規サイトにログインしている利用者のアカウントを不正利用していること。3のリクエストでセッションクッキーを正規サイトに送信するため、利用者が正規サイトにログイン状態であれば、ログインした状態で攻撃される。サンドボックスという考え方ブラウザ上では、JavascriptやJavaアプレットなどサイトを閲覧した状態でプログラムを実行する機能が提供されている。悪意のあるプログラムが動かないよう、javascriptなどは安全性を高めるための機能を提供している。その基本的な考え方には次の2種類がある。利用者の配布元を確認させた上で、利用者が許可した場合のみ実行実行するプログラムの「できること」を制限するサンドボックスという環境を用意する前者はActiveXコントロールや署名付きアプレットで採用されている考え方だが、利用者の負担とセキュリティの観点からサポートが終了されつつある。Playerなどで採用されている考え方で、プログラムができることに制約がある。Javascriptのサンドボックスローカルファイルへのアクセス禁止プリンタなどの資源の利用禁止(画面表示は可能)ネットワークアクセスの制限(同一オリジンポリシー))ネットワークについては完全な禁止ではないが、厳しい制約がある。この制約を同一オリジンポリシーと呼ぶ。policy)はとはJavaScriptなどのクライアントスクリプトからサイトをまたがったアクセスを禁止するセキュリティセキュリティ上の制限。ブラウザは一度に複数のサイトのオブジェクトを扱うことができる。iframeなどがその例。Name)が一致しているスキーム(プロトコル)が一致しているポート番号が一致しているクッキーに対する条件はスキームとポート番号は関係ないので、javascriptの制限のほうが厳しい。同一オリジンポリシーによる保護対象はiframe内のドキュメントだけではない。Ajaxの実現に使用されるXMLHttpRequestオブジェクトでアクセスできるURLにも同一オリジンポリシーの制限がある。XMLHttpRequestについては、相手側の許可があれば、同一オリジンでなくとも通信可能なCORSという規格が策定された。同一オリジンポリシーにより受動的攻撃を防止しているが、アプリケーションに脆弱性があると受動的攻撃を受ける場合がある。その代表例がクロスサイト・スクリプティング(XSS)攻撃。