攻撃手法・実行
クロスサイトスクリプティング
クロスサイトスクリプティング（別名 XSS、クロスサイト・スクリプティング）は、Webサイトが利用者からの入力やデータベースの内容をページに出力する際、特別な意味を持つ記号を無害化せずにそのまま出力してしまう弱点を突く手口です。
- 初期侵入
- 実行
- 横展開
- 窃取
- 影響
要点
- 段階 攻撃が進む段階のうち「実行」で使われます。
- 記録 このサイトに収録した事例とグループの記録には、まだ出てきません。
- 最初の対策 ページに出力するすべての要素について、特別な意味を持つ記号を無害化して出力する。
攻撃者が仕込んだ内容が他の利用者のブラウザ上でそのサイトの一部として実行されてしまう。被害が及ぶのはサイト自体ではなく、そのページを見た利用者である。
攻撃の流れ
- 1Webサイトが、入力内容や蓄積した内容をページに出力する際に、特別な意味を持つ記号を無害化しないまま出力してしまう
- 2攻撃者は掲示板やコメント欄、検索結果など出力される箇所を通じて、仕込んだ内容がページに残る、または反映される状態を作る
- 3他の利用者がそのページを閲覧すると、仕込まれた内容がそのサイトの正規のページの一部としてブラウザ上で動いてしまう
- 4結果として、閲覧者のセッション情報や入力内容の窃取、偽の表示によるフィッシングなどにつながる
気づくための兆候
- 通常は現れない記号やエンコードされた文字列を含むアクセスがWebサーバーのログに記録される
- 利用者から、見慣れない表示や想定外のポップアップが出たという申告がある
- 特定のページを閲覧した利用者のセッションが、別の場所や見慣れない端末から使われる
- コメント欄や掲示板など利用者が入力できる箇所に、不自然なリンクや文字列が残っている
対策
ページに出力するすべての要素について、特別な意味を持つ記号を無害化して出力する
HTML入力を許可する必要がない機能では、入力をそのまま許可しない方針にする
Content Security Policyなど、ブラウザ側で読み込める内容を制限する設定を使う
Cookieにセッション情報を保存する場合は、スクリプトから読み取れない属性やSecure属性を設定する
公開前後にWebサイトの脆弱性診断を定期的に実施する
関係するページ
手口、グループ、事例のつながりは、収録データの記録だけから引いています。
関係するグループ
収録データにはまだ出ていない
関係する事例
収録データにはまだ出ていない
出典
- 1.5 クロスサイト・スクリプティング(安全なウェブサイトの作り方) IPA 独立行政法人情報処理推進機構・2021-03-31
- 安全なウェブサイトの作り方 IPA 独立行政法人情報処理推進機構・2021-03-31
最終確認日 （2026年10月24日）
監修 平原尚樹（株式会社BlueAI 代表取締役CEO、ソフトウェアエンジニア、Google Cloud Architect）