【3/18〜】Amazon、VMwareが語る『クラウドの未来』 スラッシュドット    はてなブックマーク  Yahoo!ブックマークに登録  印刷

ICDロゴ

クロスサイト・スクリプティング （cross-site scripting）

別名
・CSS （cross-site scripting） 【シー・エス・エス】
・XSS （cross-site scripting） 【エックス・エス・エス】

最終更新日： 2002/08/11

　Webサーバ上で動作しているアプリケーションに関するセキュリティ・ホールの1つ。ユーザーの入力などに応じて動的に生成されるWebページにおいて、特殊なスクリプト・コードを入力すれば、本来は許可されていないような操作を行うことができるというセキュリティ・ホール。これを悪用すると、例えば別のWebサイトへCookie情報を送信させたり、ローカルのコンピュータに格納されている情報をほかのサーバなどへ送信させたりすることができる。スクリプトを使って、もともとのWebサイト以外へも（サイトを越えて）情報を漏えいさせてしまうので、クロスサイト・スクリプティング（攻撃）という。これを防ぐには、ユーザーが入力した文字列から特別な意味を持つ文字やコードを取り除くようにすればよい。これはWebサーバやWebブラウザ・ソフトウェアの問題ではなく、Webサーバ上で実行されているCGIなどの設計ミスに起因するセキュリティ・ホールである。

　例えば文字列を検索して、その結果を表示するWebページがあるとする。結果は『文字列「$STRING$」は見つかりませんでした。』と表示するようにCGIプログラムを作成する。ただし「$STRING$」の部分はユーザーが入力した文字列に置き換える。ユーザーの入力が「テスト」だとすると、動的に生成されたHTMLコードは次のようになるだろう。

<HTML>
<BODY>
文字列「テスト」は見つかりませんでした。
</BODY>
</HTML>

　しかしユーザーが「<SCRIPT>alert("Hello, world");</SCRIPT>」と入力したとするとこのコードは次のようになってしまい、画面には「Hello, world.」というダイアログが表示される。

<HTML>
<BODY>
文字列「<SCRIPT>alert("Hello, world");</SCRIPT>」は見つかりませんでした。
</BODY>
</HTML>

　このように、Webページの入力テキストボックスなどに特別なHTMLコードやスクリプト・コードを指定することにより、さまざまなコードを実行できるようになる。これを悪用すれば、ローカルのマシンに保存されているCookieの値を取得したり（Cookieの内容が漏えいすると、それを使ってWebサーバに登録されているユーザー情報などを取り出せる可能性がある）、ほかのサイトへ誘導したり、ローカルのデータを別のサーバへ送信したりするなど、さまざまな操作が可能になってしまう。

　クロスサイト・スクリプティングを防止するには、特別な意味を持つ文字をすべてエスケープ処理してから表示するなどの処理が必要である。具体的には、"<"→"&lt;"、">"→"&gt;"、"&"→"&amp;"などとする。先ほどのページならば、次のようにするべきである。

<HTML>
<BODY>
文字列「&lt;SCRIPT&gt;alert("Hello, world");&lt;/SCRIPT&gt;」は見つかりませんでした。
</BODY>
</HTML>

Copyright (C) 2000-2007 Digital Advantage Corp.

関連用語

■セキュリティ・ホール
■HTML
■World Wide Web
■WWWブラウザ
■Webサーバ
■サニタイジング

アイティメディアの提供サービス

ホワイトペーパー（TechTargetジャパン／閲覧には会員登録が必要です）

スキルアップ／キャリアアップ（JOB@IT）

- PR -
＠IT Special -PR-
◆ 　 TomcatやJBossなどAPサーバ環境に関する
情報を集約！ “業務”用APサーバ大百科
New！
◆ 　 一気に解説！　最新のクラスタストレージ
「RAIDを超えたストレージ基準」……など
New！
◆ 　 クラウド的ユーザー体験の変化は脅威か？
仮想化技術を使いこなす運用管理術を紹介
New！

◆ 　 上司や部下、部署内メンバーとの情報共有
を“ガラッ”と変えるコラボツールとは？
New！
◆ 　 おばかアプリ選手権、第４弾開催中！！
ムダにカッコよくてくだらない作品求ム！
◆ 　 社内ファイルサーバを“クラウド”に統合
VPN直結「クラウド型ストレージ」を紹介

◆ 　 Twitterのアカウントはなぜ突破された？
メールによる新手の攻撃手法とその対策
◆ 　 もう仮想化のお試しフェイズは終わりだ！
Hyper-V 2.0が基幹システムも仮想化
◆ 　 美人!? まあまあ？ 気になる いやし系!!
PV急増で「美人時計」がとった手段とは？

◆ 　 クライアント企業から求められる人材
⇒IT技術と経営戦略を併せ持つ「戦略家」
◆ 　 .NET編集長が実践する「技術情報検索術」
サンプル・コードを簡単に探す“技”は？
◆ 　 業務効率と情報セキュリティ対策を両立！
手間なく確実に機密情報を守る方法とは？

◆ 　 進化を続ける富士通ストレージETERNUS DX
製品開発者の自信を裏付けるものとは何か
◆ 　 運用管理の課題を“2つの観点”から分析
ユーザー満足度の高い「仮想環境」とは？

◆ 　 【CTC事例】約30の基幹システムを統合！
膨大なバッジジョブを制御した方法は？
◆ 　 仮想化すればコストは削減できるか？
仮想化に必要な「3つの視点」を解説する
◆ 　 その数、なんと400台以上！ グループ内
サーバの「統合管理」によるメリットは？

→＠IT Special ヘ