2023/07/07の勉強会で発表されたものです。

1. XSSについて調べたこと
おじさん 2023年7月7日

2. 目次
• 概要
• 簡単な例
• 対策方法
• まとめ

3. 概要
クロスサイト・スクリプティング：
Webページに不正なスクリプトを紛れ込ませて、実行させる脆弱性
影響：
・偽のページの表示
・Cookieの取得

4. 概要
種類：
・反射型XSS
不正なスクリプトを含んだメールやサイトのURLを送信
相手がそれにアクセスするとスクリプトが実行される
http://〜.com/search?q=<script>コード</script>

5. 概要
種類：
・格納型XSS
Webページに不正なスクリプトを埋め込む
データ保存の入力欄にスクリプトを書き込む
そのデータを表示する時などタグとして解釈
スクリプトが実行される

6. 概要
種類：
・DOM Based XSS
DOMのオブジェクト(javaScriptでのdocument等)を利用し、
Webページに不正なスクリプトを書き込む
DOMでページを書き換える時にスクリプトが実行される
サーバを経由しない
<script>
function Input(){
let inputValue = document.getElementById("textField").value;
document.getElementById("outputField").value = inputValue;
}
</script>

7. 格納型の例
入力フォーム

8. 格納型の例
入力して送信ボタンを押す 入力した文字が出力

9. 格納型の例
タグをデータとして送信
<script>alert("スクリプト実行")</script>
タグとして解釈され
ポップアップが表示される

10. 対策
・対策
・サニタイジング
タグとして出力されるものを置換
表示は同じ
< → &lt;
ʻ → &#39;
・入力値制限
電話番号の入力欄 → 数字のみ
名前の入力欄 → 記号を弾く
・WAF(Web Application Firewall)の導入

11. まとめ
・Webアプリケーションへの攻撃
・不正なスクリプトを実行できる
・対策が必要