クロスサイトスクリプティングとは

2020 年 4 月 18 日 By クリスティーン・マーグレットコメントはありません 5 minutes

クロスサイトスクリプティング (XXS とも呼ばれる) は、悪意のあるスクリプトをユーザーの Web ブラウザーに意図的に挿入する悪意のある攻撃です。攻撃者は、ユーザーが Web アプリケーションまたは Web ページにアクセスするとすぐに、Web アプリケーションまたは Web ページで悪意のあるコードを実行します。悪意のあるスクリプトは、ユーザーのブラウザに自動的に送信されます。

クロスサイトスクリプティング

このようにして、攻撃者はユーザーのブラウザーまたは特定の Web サイトのアカウントを制御します。これは、この攻撃が Web アプリケーション自体に害を及ぼすのではなく、そのアプリケーションのユーザーに影響を与えることを意味します。

さらに、悪意のあるスクリプトは通常、JavaScript コードとして送信されます。ただし、悪意のあるコードは、HTML、Ajax、Flash、Java などの他の言語のユーザーのブラウザーを悪用することもできます。

入手 FastestVPN

説明のまとめ

クロスサイトスクリプティングの説明の簡単な要約を次に示します。

XXS は、脆弱な Web ページまたは Web アプリケーションに対する Web ベースの攻撃です。
アプリケーション自体ではなく、Web アプリケーションのユーザーに害を与える
XXS は、JavaScript を介して悪意のあるプログラムをユーザーに送信します。

クロスサイトスクリプティング (XXS) 攻撃はどのように機能しますか?

クロスサイトスクリプティング攻撃は、最初に脆弱な Web アプリケーションを悪意のあるスクリプトで操作し、次に Web アプリケーションがその悪意のある JavaScript をユーザーのブラウザーに配信するという方法で行われます。

悪意のあるスクリプトがユーザーのブラウザーに侵入するとすぐに、攻撃者はユーザーのブラウザーを簡単に制御できます。

クロスサイトスクリプティングの目的

攻撃者は、次の理由で XXS 攻撃を実行します。

アカウントをハッキングするには
インターネットを使用してシステムに悪意のあるソフトウェアやウイルスを送信する
ユーザーのクリップボードの内容とブラウザの履歴にアクセスするには
ユーザーのブラウザをリモートで実行するには
イントラネットアプリケーションを悪用してアクセスするには

クロスサイトスクリプティングの例

XXS を挿入するための最も脆弱なソースの一部は、自己ホスト型の掲示板フォーラムや、ユーザーの投稿を許可する Web サイトです。

ここで、クロスサイトスクリプトの簡単な例を以下に示します。

これは JSP コードであり、HTTP 要求が作成され、コードが従業員 ID (eid) を読み取り、それをユーザーに表示することがわかります。

この例のコードは、コード (eid) に標準の英数字テキストが含まれている場合にのみ正常に機能します。

ただし、同じコード (eid) がメタ文字またはソースコードの値を使用している場合、コードは Web ブラウザーによって強制的に HTTP 応答としてユーザーに表示されることを意味します。

悪意のある URL を入力する人はいないため、最初は重大な脆弱性には見えませんでした。ただし、攻撃者が悪意のあるリンクを作成し、ユーザーをだまして URL に隠されているリンクにアクセスさせると、混乱が始まります。

通常、攻撃者はソーシャルエンジニアリングや電子メールでユーザーをだまし、悪意のあるリンクにユーザーを誘導します。

ユーザーが悪意のあるリンクをクリックするとすぐに、ユーザーは意図せずに Web アプリケーションの悪意のあるコンテンツを自分のシステムに送り返します。

悪意のあるコンテンツを反射して戻すプロセスは、反射 XXS と呼ばれます。 XXS 攻撃は深刻な混乱を引き起こし、多くの場合、改ざんや重大なデータ盗難につながります。

クロスサイトスクリプティングの種類

保存された/永続的な XSS

Stored/Persistent XSS 攻撃は、攻撃者が Web アプリケーションに永続的なスクリプトを送信する XSS 攻撃の最も破壊的な形式です。サーバー上で何らかのリクエストが行われると、ユーザーは悪意のあるスクリプトの犠牲になります。

反射XXS

このタイプのクロスサイトスクリプティングでは、サーバーを直接攻撃することはありません。電子メールを使用してユーザーをだまし、ブラウザで悪意のあるスクリプトを実行させます。ブラウザーは、それが信頼できるスクリプトであると認識しているため、すべての悪意のあるコンテンツがユーザーのブラウザーに反映されます。