サイト脆弱性をチェックしよう!--第5回:XSSの脆弱性を検査する方法

池田雅一(テクマトリックス)

2007-11-01 12:00

 前回までは安全なウェブアプリケーションを作成する手法をいくつか説明してきた。今回からは代表的な脆弱性についての検査方法を説明していきたい。まずは、クロスサイトスクリプティング(XSS)の脆弱性について、その検査方法を紹介する。

 XSSとは、入力として受け取ったデータに含まれている「Javascript」などのスクリプトやタグが、それらが有効な形で出力(HTTPレスポンス)に含まれているために、ブラウザが意図しない動作や表示を行ってしまう脆弱性だ。

 この脆弱性を使った攻撃の被害者はサイトを利用している利用者であり、サイトが直接的な被害に遭うことはない。この脆弱性を利用すると、攻撃者が意図した通りにブラウザをコントロールすること(たとえば、意図しないデータの送信や表示内容の変更)が可能になる。

 これにより、利用者のログイン情報を他のサーバに送信したり、利用者のブラウザからサイトにある脆弱性を調査し、その結果を他のサーバに送信することも可能になる(図1)。また最近では、XSSの脆弱性を利用したワームもMcAfeeのウェブサイトなどで報告されている。

図1 図1:XSSを利用した攻撃例。

 XSSの脆弱性を攻撃に用いるにはサイトの利用者に、悪意あるスクリプトを含んだリンクをクリックさせる必要がある。そのために攻撃者は、巧妙に仕組んだSpamメールや掲示板、自分が立ち上げたサイトなどのリンクを利用する。

 これらのリンクは対象となるサイトが送信したメールに偽装されていたり、一見すると信頼できそうなサイトにそれらしい言葉でリンクが貼られていたりする。このようにして攻撃者は誰かが罠にかかるのをじっと待っているので注意が必要だ。

ZDNET Japan 記事を毎朝メールでまとめ読み(登録無料)

ホワイトペーパー

新着

ランキング

  1. セキュリティ

    「デジタル・フォレンジック」から始まるセキュリティ災禍論--活用したいIT業界の防災マニュアル

  2. 運用管理

    「無線LANがつながらない」という問い合わせにAIで対応、トラブル解決の切り札とは

  3. 運用管理

    Oracle DatabaseのAzure移行時におけるポイント、移行前に確認しておきたい障害対策

  4. 運用管理

    Google Chrome ブラウザ がセキュリティを強化、ゼロトラスト移行で高まるブラウザの重要性

  5. ビジネスアプリケーション

    技術進化でさらに発展するデータサイエンス/アナリティクス、最新の6大トレンドを解説

ZDNET Japan クイックポール

自社にとって最大のセキュリティ脅威は何ですか

NEWSLETTERS

エンタープライズ・コンピューティングの最前線を配信

ZDNET Japanは、CIOとITマネージャーを対象に、ビジネス課題の解決とITを活用した新たな価値創造を支援します。
ITビジネス全般については、CNET Japanをご覧ください。

このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。 これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。
Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。
[ 閉じる ]