クロスサイトスクリプティング

Webアプリケーションの脆弱性を悪用し、悪意のあるスクリプトをWebページに埋め込む攻撃。XSSと略され、閲覧者のcookieの窃取や偽ページの表示などが行われる。

Webアプリケーションの脆弱性を悪用して、利用者のブラウザ上で不正なスクリプトを実行させる攻撃。攻撃者が仕込んだスクリプトにより、Cookie情報の窃取やセッションハイジャック、偽のページ表示などが行われる。

Webアプリケーションの脆弱性を悪用し、利用者のブラウザ上で悪意のあるスクリプトを実行させる攻撃手法。XSSとも略され、Cookie窃取やセッションハイジャック、偽ページ表示などの被害を引き起こす。入力値のサニタイジングで対策する。

Webアプリケーションの脆弱性を利用して、悪意のあるスクリプトをWebページに埋め込み、閲覧者のブラウザ上で実行させる攻撃手法。XSSと略され、Cookie窃取やセッションハイジャックに悪用される。入力値のサニタイジング（エスケープ処理）が主な対策。

Webアプリケーションの脆弱性を利用して、悪意のあるスクリプトをWebページに埋め込む攻撃。反射型、格納型、DOMベースの3種類がある。対策として出力時のHTMLエスケープ、Content-Security-Policy（CSP）ヘッダの設定、入力値の検証がある。

Webアプリケーションが利用者の入力を適切にエスケープせずにWebページへ出力する脆弱性を突き、攻撃者が仕込んだスクリプトを閲覧者のWebブラウザ上で実行させる攻撃。XSSと略し、Cookieの窃取によるセッションハイジャックや偽の入力フォームの表示などに悪用される。

Webアプリケーションの入力値を通じて不正なSQL文を挿入・実行させる攻撃手法。データの不正取得、改ざん、削除などが可能になる。対策としてプレースホルダ（バインド機構）の使用、入力値の検証、エスケープ処理、最小権限のDBアカウント使用がある。

ログイン状態の利用者に罠のページを踏ませ、本人の意図しない更新要求を正規サイトへ送らせる攻撃。ブラウザが自動送信するCookieを悪用する。要求ごとに推測困難なトークンを埋め込み照合することで防止する。

透明化した正規サイトのページを罠ページに重ね、利用者が別のものをクリックしたつもりで正規サイトの操作を実行させる攻撃。X-Frame-OptionsやCSPのframe-ancestorsで、他サイトからのフレーム埋込みを禁止して防ぐ。

改ざんされたWebサイトを閲覧しただけで、ブラウザやプラグインの脆弱性を突いてマルウェアを自動的にダウンロード・実行させる攻撃。利用者の操作を必要としないため気付かれにくく、閲覧環境の更新が主要な対策となる。

Webアプリケーションの入力値がOSのシェルへ渡される箇所に、区切り記号と任意のコマンドを紛れ込ませて実行させる攻撃。サーバの乗っ取りに直結する。シェル経由の外部プログラム呼出しを避け、入力値を検証することで防ぐ。

ファイル名を指定するパラメータに「../」などの相対パスを混ぜ、公開範囲外のファイルを読み出させる攻撃。パスワードファイルや設定ファイルの窃取につながる。ファイル名を直接受け取らない設計や絶対パスの正規化で防ぐ。