クロスサイトスクリプティング (XSS) とは何か、また、どのように防止しますか？

Question

IT Interview Practice · Accepted Answer

**クロスサイトスクリプティング (XSS)** は、攻撃者が悪意のある **JavaScript** をウェブページに注入し、他のユーザーのブラウザで実行させる脆弱性です。これにより、データ盗聴、セッションハイジャック、またはユーザーになりすましてアクションを実行できます。一般的で危険なウェブ脆弱性ですが、適切な出力処理により防止可能です。 ## XSS の仕組み ```text When user input is rendered into a page WITHOUT proper escaping, injected SCRIPTS run: ``` ```html

Welcome, <%= userInput %>

``` 注入されたスクリプトは被害者のブラウザで **信頼されたサイトからのかのように** 実行されます。これにより、攻撃者はセッションクッキー/トークンを盗聴したり、アカウントをハイジャックしたり、キーストロークをキャプチャしたり、ユーザーになりすましてアクションを実行できます。 ## XSS の種類 ```text STORED → malicious script SAVED on the server (e.g. in a comment) → served to all viewers REFLECTED → script in a request (e.g. a URL parameter) reflected back in the response DOM-based → client-side JS unsafely puts untrusted data into the DOM ``` ## 防止 ```text ✓ ESCAPE/ENCODE output → render user data as TEXT, not HTML (the key defense): → frameworks (React, Angular, Vue) auto-escape by default → use them properly → escape based on context (HTML, attribute, JS, URL) ✓ AVOID dangerous APIs → innerHTML, dangerouslySetInnerHTML, eval with untrusted data ✓ SANITIZE HTML if you must allow it (e.g. DOMPurify for rich text) ✓ Content Security Policy (CSP) → restricts what scripts can run (defense in depth) ✓ HttpOnly cookies → JS can't read them (limits cookie theft via XSS) ``` ## なぜ重要なのか XSS とその防止方法を理解することは、**一般的で危険なウェブ脆弱性** であり、攻撃者がユーザーのブラウザで悪意のあるスクリプトを実行できるため、ウェブ開発者にとって必須のセキュリティ知識です。 **仕組みを理解すること** が重要です。つまり、ユーザー入力をページにレンダリングする際に適切なエスケープを行わないと、注入された **JavaScript が信頼されたサイトのコンテキストで他のユーザーのブラウザで実行され、攻撃者がセッションクッキーとトークンを盗聴したり、アカウントをハイジャックしたり、ユーザーになりすませる** ことができるため、この脆弱性を認識・防止するために必要です。 XSS が危険な理由は、ユーザーのセッションとデータを危険にさらし、ユーザー生成コンテンツを表示するウェブアプリケーションで一般的だからです。 **種類を理解すること** も重要です。保存型 XSS（悪意のあるスクリプトがサーバーに保存され、すべての閲覧者に配信される、最も危険）、反射型 XSS（リクエストから反射されるスクリプト）、DOM ベース XSS（クライアント側の不安全な DOM 操作）は、異なる攻撃ベクトルを認識するために役立ちます。 **防止方法を理解することは必須です**：**出力のエスケープ/エンコーディング**（ユーザーデータをテキストとして、HTML ではなくレンダリング。重要な防御で、React などの最新フレームワークは正しく使用された場合デフォルトで自動的に実行）、**危険な API の回避**（innerHTML、dangerouslySetInnerHTML、信頼されていないデータを伴う eval。XSS の一般的なソース）、**リッチコンテンツを許可する必要がある場合の HTML サニタイズ**（例：DOMPurify）、**Content Security Policy**（防御層として実行スクリプトを制限）、および **HttpOnly クッキー**（JS がそれらを読み取ることを防止）。フレームワークが自動エスケープを実行すること（したがって正しく使用するとほとんどの XSS を防止し、エスケープをバイパスすると再導入される）を理解することは、実務的に重要です。 XSS は一般的で危険な脆弱性であり、ユーザーのセッションとデータを危険にさらし、特にユーザーコンテンツを表示するアプリケーションで危険です。また、それがどのように機能し、どのように防止するか（出力エスケープ、危険な API の回避、CSP、フレームワークのデフォルト）を理解することはウェブ開発者にとって必須です。したがって、XSS とその防止を理解することは必須で、必知のセキュリティ知識です。広く配布されている攻撃クラスからユーザーを保護するための基本的なウェブ脆弱性であり、適切な出力処理（エスケープ、フレームワークのデフォルトの使用、危険な API の回避）が重要な知識です。

XSS の仕組み

XSS の種類

防止

なぜ重要なのか

関連する質問