SQLインジェクション、クロスサイトスクリプティングとは？　Webの主な脆弱性

攻撃によく利用される手法を理解することは、適切なセキュリティ対策を講じるための第一歩だ。Webアプリケーションの主な脆弱性「SQLインジェクション」「クロスサイトスクリプティング」を紹介する。

公開 2020年04月16日 05時05分

更新 2023年08月29日 18時06分

著者

Katie Donegan

[TechTarget]

印刷する連載新着通知を受け取る

　Webアプリケーションの一般的な脅威は、セキュリティの専門家がよく知っているものでもある。なぜそれらの脅威はなくならないのだろうか。原因は、概してIT部門が脅威を防ぐために十分な対策をしていないことにある。本稿が紹介する以下5つのWebアプリケーションの脆弱（ぜいじゃく）性に関する情報を、セキュリティインシデントと潜在的なダメージを防ぐために役立ててほしい。

SQLインジェクション
クロスサイトスクリプティング（XSS）（会員限定）
バッファオーバーフロー（後編で紹介）
クロスサイトリクエストフォージェリ（CSRF）（後編で紹介）
アクセス制御の不備を突く攻撃（後編で紹介）

併せて読みたいお薦め記事

さまざまなアプリケーション攻撃手法

アプリケーションへの攻撃を防ぐには

1．SQLインジェクション

　正規のSQLクエリに悪意ある操作を挿入して、標的のサーバで実行させることを可能にするSQLインジェクションを悪用した攻撃は、たちが悪い脅威だ。機密データ漏えいだけでなく、攻撃者によるシステムへのリモートアクセスと制御を引き起こす。Webアプリケーションの開発とホスティングの外部委託、継続的なセキュリティテストの未実施が、SQLインジェクション攻撃の一因になっている。

　SQLインジェクション攻撃を防ぐには脆弱性診断とペネトレーション（侵入）テストが欠かせない。市販の脆弱性診断製品やソースコード分析製品を使用することで、SQLインジェクションをはじめとするアプリケーションの脆弱性を検出できる。1つのセキュリティ製品で全ての脅威に対処するのは難しいため、複数の製品を使うとよいだろう。

2．クロスサイトスクリプティング（XSS）

　不正なスクリプトを「信頼できるWebサイトが提供した」とWebブラウザに誤認識させ、エンドユーザーのWebブラウザで実行させることを可能にする脆弱性がXSSだ。XSSを悪用した攻撃を通じて、攻撃者は正当なエンドユーザーになりすますことができる。そこから特権を持つアカウントを乗っ取ることで、コンテンツの改ざんから遠隔操作でのプログラム実行に至るまで、さまざまな操作を実行できるようになる。

　XSS攻撃には次の3種類がある。

反射型
- Webサイトが送信するクエリのパラメータを悪用し、悪意ある操作をWebブラウザに実行させる
DOM（Document Object Model）型
- 「JavaScript」のスクリプトによる指示でWebブラウザがWebサイトのコンテンツを操作する際に、不正な指示を与えてスクリプトを混入させる
格納型
- Webサイトが利用するデータベースにスクリプトを混入させる