🌈にじいろ式｜クロスサイトスクリプティング（素直なブラウザ姫で覚える）

🟩クロスサイトスクリプティング（XSS）をにじいろ式で理解する

こんにちは。事務をしながら 情報処理安全確保支援士 を目指して勉強している、にじいろです。

前々回は、XSSとCSRFの違いを「後ろの言葉」に注目して覚える方法を紹介しました。

今回はその流れで、クロスサイトスクリプティング（XSS）をにじいろ式で整理していきます。

🟩にじいろ式のXSSの本質

今回のテーマを一言で言うと、これです。

👉 ブラウザ姫は素直に実行する👸

ブラウザ姫（ブラウザをこのブログではそう呼びます）は、とても素直な子です。
「書いてありますもの、実行しますわ」
とニコニコ実行してしまいます。

🟩XSSとは

クロスサイトスクリプティング（XSS）は、

👉 悪意のあるスクリプトがWebページに紛れ込み、そのページを見た利用者のブラウザで実行されてしまう攻撃

👉 原因：ユーザー入力をそのままHTMLとして出力してしまうこと
です。

ここが試験ポイント👇

👉 “サーバではなく、利用者のブラウザで実行される”

🟩ポイントは3つ

・スクリプト＝JavaScriptなどの命令
・Webページに混入する
・ブラウザがそのまま実行してしまう

👉結果

• Cookie盗難 → セッションハイジャック

• フォーム入力の盗み見

• 任意の操作の実行（偽のボタン押下など）

🟩どこが攻撃ポイント？（ここ大事）

👉 ユーザー入力欄（検索欄・コメント欄・フォーム）

ここに悪意のスクリプトが入り込むことで、
Webページに紛れ込みます。

🟩XSSの3種類（語感でOK＋ひとこと）

・反射型 → 入力した瞬間に反射して実行
    ※鏡みたいに即反応で覚える
・格納型 → サーバに保存されて後から発動
　※地雷を埋められるイメージで覚える
・DOM型 → サーバを介さず、ブラウザ内のJavaScriptでDOMを書き換えることで発生
　※ブラウザ姫の手元だけで起きる

👉「どこに仕込まれるか」が違うだけ

🟩XSS対策（優先度 × 試験ワード）

対策は色々ありますが、まずこれ👇

⭐️⭐️⭐️⭐️⭐️（最重要）星5
🟦エスケープ処理（出力時エスケープ）

「これは命令ではなく文字です」とブラウザ姫に教える処理

例：
<script> → &lt;script&gt;

その他（試験でよく出る）👇

⭐️⭐️⭐️⭐️（重要）星4
🟦入力値検証（バリデーション）
入力された値が想定外の形式でないかをチェックする
例：文字数制限、記号の制限など
👉 ただし、バリデーションだけではXSSは防げない
（すり抜ける可能性があるため、エスケープが必須）

⭐️⭐️⭐️星3
🟦HTTPOnly属性（CookieをJSから触れなくする）
Cookieに付ける設定で、JavaScriptからアクセスできなくする
👉 つまり👇
document.cookie が使えなくなる
→ Cookie盗難を防ぐ
→ セッションハイジャック対策になる

⭐️⭐️⭐️星3
🟦Content Security Policy（CSP）
　→ 実行できるスクリプトの出どころを制限する
例👇

• 自サイトのスクリプトだけOK

• 外部の怪しいサイトはNG

👉 役割👇
万が一スクリプトが混入しても「実行させない」最後の防御

🟩まとめ

今回のポイントは3つだけ。

・ブラウザ姫は素直に実行する
・XSSは「ブラウザで実行される攻撃」
・対策はエスケープ処理が最優先
※XSSは「サーバが乗っ取られる攻撃」ではない点に注意

まずは本質だけ掴んでおきましょう。

🌈感想

いかがでしたか。
XSSとブラウザの関係性もわかりましたでしょうか。
今回は、ブラウザ姫というキャラクターを作ってみました。
キャラクターで覚えると忘れるのが難しいです😛愛着わきますからね。
このキャラクターも何回も作り直ししました。
最後、出来上がったときに笑っちゃったこのキャラを採用🙌
そして、XSSときたら、エスケープ処理。これは最重要だということや、
保存型、反射型、DOM型を学びました。

🌈最後に
ちょっと前に、IPAの資格試験の勉強をしている方と会話をする機会がありました。
勉強している人同士の会話はいいですね。私はわからないところを先に合格した方に質問したりしてると話しました。そういうのも楽しいかもしれないですよと。

今日も最後まで読んでいただきありがとうございました♪
ではではごきげんよう🌈