「分かりそう」で「分からない」でも「分かった」気になれるIT用語辞典

順番に見ていきましょう。
まずは予備知識として「クロスサイトスクリプティング」について簡単に説明します。
「そんなの説明されなくても知ってるよ！」な人は適当に読み飛ばしてください。

クロスサイトスクリプティングは

悪い人がホームページにイタズラする
　↓
訪問者がホームページを見る
　↓
被害に遭う

な流れの悪いことです。



例えば、そうですね。
あるところに電子掲示板が ありました。
掲示板なので、他の人が投稿した内容を見られます。



ある日のことです。

悪い人が掲示板に「これを見たやつのパソコンは爆発する」と書きました。
実際にはプログラムっぽい書き方をしていて、見た人のパソコンは本当に爆発します。



ホームページに遊びに来た人が掲示板を見ました。
掲示板には「これを見たやつのパソコンは爆発する」と書いてあります。
見た人のパソコンは爆発します。



見た人は涙目ですね。



このように、外から仕込んだ悪意ある内容によって、それを見た人に影響を与える攻撃がクロスサイトスクリプティングです。

以上を踏まえて、本題に入ります。

クロスサイトスクリプティングは脆弱性（放っておくとヤバいところ、弱点）のあるホームページに対して悪い人が何かを仕込み、そのホームページを見てしまった人に悪影響を与える攻撃です。
クロスサイトスクリプティングは弱点のあるホームページに対してしか仕込めません。
ホームページの弱点を利用する攻撃なので「セキュリティ対策はバッチリだぜ！」なホームページには仕込めないのです。

それなら、そこまで心配する必要は、なさそうですね。
良かった、良かった。
一安心です。

……残念でした。

実は「弱点のないホームページに対しても、できちゃうぜ！」なクロスサイトスクリプティングのやり方があるのです。
それが「ユニバーサルクロスサイトスクリプティング」です。

「ユニバーサル」は「一般的」「普遍的」「全体の」のような意味があります。

一般的なホームページにもできちゃうぜクロスサイトスクリプティング

がユニバーサルクロスサイトスクリプティングです。

普通のクロスサイトスクリプティング（XSS）は、ホームページの弱点を利用します。
それに対して、ユニバーサルクロスサイトスクリプティング（UXSS）は、ホームページを見るソフト（Webブラウザ）の弱点を利用します。

ですから、例え弱点のないホームページを見るときであっても、弱点のあるソフトを使って見るのであれば、攻撃される可能性があります。
ホームページを「何で見るか」が問題だからです。
「どこを見るか」は関係ありません。
ユニバーサルクロスサイトスクリプティングは

ホームページを見るソフトの弱点を利用してやるクロスサイトスクリプティング

とも言えます。



なお、ユニバーサルクロスサイトスクリプティングに対する対策方法は ありません。
せいぜい

・怪しいリンクは押さない
・弱点があると分かっているホームページを見るソフトは使わない

程度でしょう。
根本的な対策はホームページを見るソフトの弱点を潰すことです。
これはソフトを作った人じゃないとできないので、待つしかありません。