クロスサイトスクリプティング（XSS）攻撃とは？仕組み・被害事例・対策を徹底解説

クロスサイトスクリプティング（XSS）攻撃は、ECサイトをはじめとするさまざまなWebアプリケーションが直面するインジェクション攻撃の中で、最も発生頻度が高いにもかかわらず、比較的簡単に修正できる攻撃の一つとされています。古いWeb技術で構築されたアプリケーションから、リッチなクライアントサイドUIを採用した最新のアプリケーションまで、XSSはあらゆる規模・種類のサイトを脅かしてきました。しかし重要なのは、XSS攻撃の原因となりうる脆弱性は、適切に検出し、早期に修正することが十分可能だという点です。

XSS攻撃はどのように発生するのか？

クロスサイトスクリプティング（XSS）攻撃は、主に以下の2つの条件が重なることで発生します。

1. Webアプリケーションが、信頼できないソースからの入力データを受け付けている
2. リクエスト経由で入力された動的コンテンツが、悪意のある内容が含まれていないかの検証（バリデーション）なしに使用されている

入力データの典型的な例としては、フォームへの氏名・メールアドレス・ユーザー名やパスワードの入力などが挙げられます。これらの入力値は、コードが適切に検証を行っていなければ、容易に改ざんされる可能性があります。攻撃者はこの検証不足を突き、悪意のあるコンテンツ――多くの場合、JavaScriptコード、HTML、またはブラウザが実行可能な任意のコード――を注入します。エンドユーザーには不正なスクリプトを見分ける手段がないため、そのまま実行してしまうことになります。一度注入されると、スクリプトは当該サイトが利用するCookie、セッショントークン、機密情報などへアクセスできるようになってしまいます。

XSS攻撃の3つのタイプ

1. DOMベース型攻撃：クライアントサイドからの悪意あるコード注入によって引き起こされます。注入されるコードはJavaScript、Flash、Visual Basicなど多岐にわたります。
2. 持続型（Stored）XSS攻撃：ペイロードがサーバーサイドに保存され、ユーザーがページへアクセスした際に読み込まれることで発生します。
3. 非持続型（Reflected）XSS攻撃：細工された入力を含むリンクを開いた際に、脆弱なWebサイトがペイロードをそのままユーザーへ返す（反射する）ことで発生します。

攻撃者はXSSをどのように悪用するのか？

一般的に、攻撃者はXSSの脆弱性を利用してエンドユーザーのセッションCookieを窃取し、それによってユーザーのアカウントへの不正アクセスを可能にします。以下はその典型的なシナリオの例です。

• あなたが利用しているサイトにコメント欄がある。
• 攻撃者がコメント欄に悪意のあるスクリプト（ペイロード）を投稿する。
• 正規のユーザーがそのコメントを表示すると、ブラウザがスクリプトをHTMLとして解析してしまう。
• 解析の結果、ユーザーのCookieが攻撃者のサーバーへ送信されてしまう。

このようなシンプルな脆弱性であっても、Webアプリケーションに存在すれば非常に深刻な影響をもたらします。また、よく知られた別の手口として「ドライブバイダウンロード」があります。これは攻撃者が一見正当に見えるリンクをクリックさせ、ユーザーに気づかれることなくマルウェアをダウンロードさせる手法です。

XSS攻撃による著名な被害事例

XSS攻撃の多くは金銭的な利益を目的として行われており、その代表例がEC大手eBayに対する過去の攻撃です。ハッカーは安価なiPhoneの複数の商品ページに悪意あるJavaScriptコードを注入し、閲覧したユーザーを認証情報を盗む目的で作成された偽ログインページへリダイレクトしました。

ECサイトだけでなく、ソーシャルメディアも同様の攻撃の標的となってきました。Twitterでは、StalkDailyというサイトへの悪意あるリンクを拡散するXSSワームによる被害が発生しています。また、MySpaceを襲った「Samyワーム」も有名な事例です。これは無害化されたウイルスでしたが、ユーザーのプロフィールページを書き換え、ランダムにフレンド申請を送信するという騒動を引き起こしました。

XSS攻撃を防ぐための対策

XSS攻撃の防止とは、ユーザーの入力そのものを禁止することではありません。重要なのは、入力内容がブラウザ上でHTMLとして解析・実行されないようにすることです。ここでは、XSS攻撃を防ぐために有効な代表的な手法を紹介します。

1. 入力値の検証（バリデーション）

XSSを防ぐ基本は、ほとんどの入力を英数字にホワイトリスト方式で制限し、必要に応じて特定の特殊文字のみを許可することです。これにより攻撃対象領域を縮小し、潜在的なバグの発生も最小限に抑えられます。

2. 安全なDOM要素の使用

DOM（Document Object Model）要素の安全でない扱いは、リッチなクライアントUIにおいてもXSS攻撃を招く原因となります。例えば、innerHTML属性を使用すると、ユーザー入力がJavaScriptイベント付きのXSSとして描画される危険があります。この場合の安全な代替策は、textContentやinnerTextを使用することです。

3. JavaScriptエスケープ処理

シングルクォートを適切にエスケープすることで、JavaScript内部へのコード注入を防ぐことができます。HTMLエンコード時にシングルクォートを「'」として扱うことで、注入の問題を回避できます。

4. 出力エンコーディング

出力エンコーディングは、大多数のXSSペイロードを無効化するうえで絶大な効果を発揮します。この手法はサーバーサイドでのインジェクション攻撃の緩和に有効です。HTMLエンコーディングが一般的ですが、URLエンコーディングを併用することで、リンクやリダイレクト内へのマークアップ注入を防ぐこともできます。