2007年10月15日 17時27分 公開
特集/連載

XSS(cross-site scripting:クロスサイトスクリプティング)Keywords

[TechTarget]

 XSS(cross-site scripting:クロスサイトスクリプティング)とは、信頼できるWebサイトを指しているように見えるリンクに、悪意あるスクリプトコードを挿入することで行われるセキュリティ攻撃である。エンドユーザーがこのリンクをクリックすると、挿入されているコードがこのユーザーのWebリクエストの一部として、リンク先のサイトに送信される。このサイトはリクエストに応じてユーザーのブラウザにコンテンツを返すが、その中にはリクエストに含まれていたコードがそのまま混入している。このコードがユーザーのコンピュータで実行され、コンピュータ内の情報を攻撃者に勝手に送信するなどの不正な処理を行う。

 ユーザーの入力データを含むエラーメッセージを動的に返すWebフォームは、フォームやページの動作を制御するHTMLを、攻撃者が改変できるようにしてしまう場合がある。攻撃者は、フォーラムの投稿内のリンクやスパムメッセージ内のリンクにコードを挿入するなど、さまざまな方法でこの不正を行う。電子メールスプーフィングにより、信頼できる送信者になりすます場合もある。

 SQLインジェクションなどのほかのWebベースの攻撃と同様に、クロスサイトスクリプティングが可能になるのは、アプリケーションのセキュリティの不備が最大の原因だ。ページを動的に生成するWebサーバアプリケーションは、ユーザーの入力を検証して適切にエンコードされたページだけを生成するようになっていない場合、クロスサイトスクリプティング攻撃を受ける恐れがある。クロスサイトスクリプティングを可能にするこの脆弱性は、XSSホールと呼ばれることもある。

 当然のことながら、専門家はクロスサイトスクリプティング対策として、Webアプリケーションに適切なセキュリティメカニズムを実装し、サーバで入力を検証することを勧めている。

ITmedia マーケティング新着記事

news030.jpg

コンテンツSEOでやらかしてしまいがちな3つの勘違い
ITmedia マーケティングで2021年3月に連載して多くの反響をいただいた「勘違いだらけのEC...

news158.jpg

「リベンジ消費」は限定的、コロナ禍以前の状態に完全に戻ると考える人はわずか25%――野村総合研究所調査
コロナ禍が収束した場合の生活者の消費価値観や生活行動はどうなるのか。野村総合研究所...

news176.jpg

Teslaが成長率1位、LVMHグループ5ブランドがランクイン 「Best Global Brands 2021」
毎年恒例の世界のブランド価値評価ランキング。首位のAppleから10位のDisneyまでは前年と...