XSS（クロスサイトスクリプティング）とは？攻撃手法と5つの対策を紹介

XSSとCSRFの違い

XSSとCSRF（クロスサイトリクエストフォージェリ）は、両方ともWebサイトの脆弱性を悪用するサイバー攻撃ですが、それぞれ異なるポイントがあります。

XSSは不正なスクリプトがWebサイト上で実行され、半強制的にサイバー攻撃を受けてしまうのに対し、CSRFはユーザーが無意識のうちに攻撃者が意図した操作を実行し、予期せぬ被害を受けてしまうのが特徴です。

CSRFを実行する攻撃者は、主にログイン機能を設けているWebサイト上で正規ユーザーを装い、偽のリクエストを送信してユーザー側が予期していない処理を実行させます。

したがって、CSRFによる被害ケースは、ログイン状態を維持するネットショッピングサイトなどが多い傾向にあります。

SQLインジェクション

SQLインジェクションもまた、Webサイトやアプリケーションの脆弱性を利用したサイバー攻撃の1つです。

しかし、SQLインジェクションは、データベースの不正利用を招くのを目的としています。

▼SQLとは

データベース言語の1つ。データベースを管理するソフトウェアを操作・制御することが目的。攻撃者はSQL文に不正なプログラムやコマンドを注入し、データベースを不正に操作します。攻撃を受けたデータベースは、格納されている顧客情報を流出させたり、データの改ざんや消去などの被害に遭う可能性があります。

Reflected-XSS

Reflected-XSS（反射型XSS）は、ユーザーが特定のリンクをクリックしたときにのみ被害が発生します。

攻撃者は偽造したWebサイトやメールに不正なスクリプトを含んだリンクを設置し、脆弱性のあるWebサイトにリクエストさせます。

ユーザーがリンクをクリックするとスクリプトが実行され、個人情報の抜き取りなどを行うのが基本の流れです。被害の具体例としては、フィッシング攻撃が挙げられます。

Stored XSS

Stored XSS（格納型XSS/蓄積型XSS）は、攻撃者がWebアプリケーションに悪意のあるスクリプトを残し、ほかのユーザーがページにアクセスするたびにスクリプトが実行されるという攻撃手法です。

具体的な被害例としては、掲示板やコメント欄に不正なスクリプトを含む投稿を行い、その投稿を見たユーザーが攻撃者の被害に遭うといったケースが挙げられます。

該当ページにアクセスするたびにスクリプトが実行されることから、Stored XSS（格納型XSS/蓄積型XSS）、もしくはPersistent XSS（持続型XSS）と言われています。

DOM Based XSS

DOM Based XSSは、WebページのDOM（Document Object Model）を操作して攻撃を行う手法です。Webページに存在する脆弱性を利用した手法で、サーバー側ではなくユーザー側のブラウザ上で処理が完了します。

例えば、Webページに埋め込まれたJavaScriptなどが適切に処理できていない場合、攻撃者はその入力を利用し、不正なスクリプトを実行する可能性があります。

ユニクロの被害事例

2020年9月、ユニクロのAndroid版公式アプリ「ユニクロアプリ」にて、XSSの脆弱性が存在することが明らかとなり、脆弱性情報対策データベース（JVN iPedia）から注意喚起が行われました。

ユニクロは迅速な対応を取り、すぐに脆弱性の修正を行ったため、XSSによる被害は確認されませんでした。XSSの影響を受けるバージョンは「7.3.3」以前であり、「7.3.4」以降のバージョンは修正されているため安全です。

Twitterの被害事例

大手SNSのTwitterでも、2010年9月にXSSによる被害がありました。

公式Twitterアカウントで「マウスカーソルを乗せると勝手に任意のテキストが投稿される」という被害事例があり、悪意のあるメッセージをフォロワーに送信したり、大量のスパムが投稿されたりなど、一時は大きな問題となりました。

調査した結果、混乱を引き起こすためのいたずら目的と判明しましたが、XSSによる被害として最大50万人が影響を受けた可能性があります。

YouTubeの被害事例

2010年7月には、YouTubeのコメント投稿に関するシステムがXSSの攻撃を受け、デマニュースのポップアップや無関係なWebサイトへのリダイレクトなどが確認されました。

これは、コメント欄に悪意のあるスクリプトが埋め込まれ、アクセスしたユーザーがそれをクリックし、不正なスクリプトが実行されたというものです。

アメリカのSANS Instituteにより、深刻な被害をもたらす可能性があるとして警告されました。

①スクリプトを無害化する

1つ目の対策は、「サニタイジング」と呼ばれるスクリプトの無害化です。

これは、Webページの表示に影響する「<」、「>」、「&」などの記号文字を、HTMLエンティティ「<」、「>」、「&」などに置き換えるというものです。

処理を実行すれば、スクリプトが意図していない動きをするリスクが軽減します。この対処法は、HTMLのエスケープ処理とも言われます。

②セキュリティの最新性を保つ

セキュリティなど、すべての動作環境を最新に保つことも有効です。

ブラウザやサーバーのセキュリティを定期的にアップデートすることで、新たに発見された脆弱性からサイバー攻撃の被害を食い止めます。

ブラウザやサーバーのアップデートは、比較的手軽にできる対策です。XSSによる被害を受けないためにも、最新性の保持を日頃から意識しておきましょう。

③フォームの入力値を制限する

ユーザーが入力できるフォームの入力値に制限を設けることで、XSSによる攻撃の被害を抑えられます。

XSSの攻撃は、Webサイトに不正なスクリプトを埋め込もうとする手法が基本です。

Webサイトにおけるフォームの入力値を制限し、不正なスクリプトを入力できないようにすれば、XSSによる攻撃手法が少なくなるため被害を未然に防止できます。

▼具体的な対処法

• パスワードの入力欄に「半角英数字8文字まで」などの制限を設ける
• 郵便番号の入力欄に「数字以外は入力できない」などの制限を設ける
• 備考の入力欄に「文字数は最大120文字まで」などの制限を設ける

入力値の制限を設ける際は、サーバー側で設定を施しましょう。

ユーザー側の入力値を制限してしまうと、ユーザー側がJavaScriptをオフにした場合、不正なスクリプトを入力できてしまいます。

④URLの出力を制限する

不正なスクリプトが実行されないように、URLの出力を制限するのも1つの手です。

これは、http・httpsで始まるURLのみ出力を許可し、そのほかのスクリプトは拒否するという方法です。

これにより、不正なスクリプトの実行を防げます。なかには「javascriptスキーム」などから始まるURLもありますが、この場合、悪意のあるスクリプトを実行されるリスクがあるため、http・httpsから始まるURLのみを許可する設定にしましょう。

【関連記事】httpとhttpsの違いとは｜SSLサーバー証明書の確認方法や信頼できるサイトの見極め方

⑤WAFを導入する

WAF（Web Application Firewall）を導入することでも対策を図れます。そもそもWAFとは、Webアプリケーションのセキュリティを強化するためのツールのことです。

ネットワークレベルのファイアウォールとは違い、WAFは不正なアクセスや攻撃を検知し、ブロックする機能が備わっています。

また、利用者の通信内容を監視することも可能であるため、掲示板などに入力された悪意のあるスクリプトもブロックできます。

【関連記事】情報セキュリティ対策の具体例とは？対策を怠った場合のリスクについても解説