セキュリティ機能が通用しないXSSの本当の怖さ

WEBサイトの代表的な脆弱性であるクロスサイトスクリプッティング。

有名ではあるが、謝って理解されているケースが多い。XSSが脅威なのは、Javascriptのセキュリティ機能の一部が通用しないためである。

アプリケーションに関する脆弱性は多数あるが、その中でも有名なものの一つがクロスサイトスクリプティングである。

XSSはわかりにくい脆弱性の一つであり、謝って理解している人が多いように見受けられます。

例えば、PHPスクリプトと

http://example.jp/xss.php?p-<script<alert(document.cookie)というURLで起動すると、Pに渡されたjavascriptが起動されクッキーの内容が表示される。つまりこれでは、罠サイトに置かれたリンクをクリックするだけで、攻撃者が仕掛けたjavascriptが起動し、クッキーの内容が表示されることを示す。

・クッキーの内容はWebアドオンなどでも表示できるので、アラートとして表示されても危険性はないのではないか?
・罠サイトであろうが正規サイトであろうがアクセスすればそのサイトに置かれたjavascriptが実行されるのは当たり前ではないだろうか?

これらの疑問は当たり前のことである。

XSSの本質は、本来ならば実行されないはずのjavascriptを実行されてしまうことにある。

実行できないはずのjavascriptとは何か。これを知るためにはjavascriptのセキュリティ機能について理解する必要がある。

javascriptを使えば、webブラウザーなどに様々な動作をさせることができる。

Archive List

LEAVE A REPLY

*
*
* (公開されません)

CAPTCHA