クロスサイトスクリプティング

Webアプリケーションの脆弱性を悪用し、悪意のあるスクリプトをWebページに埋め込む攻撃。XSSと略され、閲覧者のcookieの窃取や偽ページの表示などが行われる。

Webアプリケーションの脆弱性を悪用して、利用者のブラウザ上で不正なスクリプトを実行させる攻撃。攻撃者が仕込んだスクリプトにより、Cookie情報の窃取やセッションハイジャック、偽のページ表示などが行われる。

Webアプリケーションの脆弱性を悪用し、利用者のブラウザ上で悪意のあるスクリプトを実行させる攻撃手法。XSSとも略され、Cookie窃取やセッションハイジャック、偽ページ表示などの被害を引き起こす。入力値のサニタイジングで対策する。

Webアプリケーションの脆弱性を利用して、悪意のあるスクリプトをWebページに埋め込み、閲覧者のブラウザ上で実行させる攻撃手法。XSSと略され、Cookie窃取やセッションハイジャックに悪用される。入力値のサニタイジング（エスケープ処理）が主な対策。

Webアプリケーションの脆弱性を利用して、悪意のあるスクリプトをWebページに埋め込む攻撃。反射型、格納型、DOMベースの3種類がある。対策として出力時のHTMLエスケープ、Content-Security-Policy（CSP）ヘッダの設定、入力値の検証がある。

Webアプリケーションの脆弱性を利用して、悪意のあるスクリプトをWebページに埋め込む攻撃。反射型、格納型、DOMベースの3種類がある。対策として出力時のHTMLエスケープ、Content-Security-Policy（CSP）ヘッダの設定、入力値の検証がある。

動作中のアプリケーションに外部から検査用のリクエストを送り、その応答から脆弱性を検出する検査手法。攻撃者と同じ視点で、XSSやSQLインジェクション、設定不備などを実行環境を含めて確認できる。ソースコードがなくても実施できるが、問題の箇所をコード上で特定しにくく、検査が到達しない機能は確認できない。

Webページに不正なスクリプトを埋め込ませるクロスサイトスクリプティング（XSS）を防ぐ対策。HTMLに出力する値を出力箇所の文脈に応じてエスケープする、URLを出力する場合はhttp・httpsで始まるものだけを許可するといった根本的な対策に加え、CSPで実行できるスクリプトを制限する、CookieにHttpOnly属性を付けてスクリプトから読み取れなくするといった、被害を抑える対策を組み合わせる。

Webアプリケーションのセキュリティに取り組む国際的なコミュニティOWASPが、Webアプリケーションの重大なセキュリティリスクを10項目にまとめ、数年ごとに改訂して公表しているリスト。アクセス制御の不備、インジェクション、セキュリティ設定のミスなどが挙げられ、開発やセキュリティ診断の目安として広く使われる。

Webアプリケーションが利用者の入力をHTTPレスポンスヘッダに出力する際、改行コードを含む値をそのまま使うことで、攻撃者が任意のヘッダや本文を追加できてしまう攻撃。偽のCookieの設定や偽のページの表示に悪用され、ヘッダを出力するAPIの使用や改行コードの除去で対策する。

Webアプリケーションの入力欄などにSQL文の一部となる文字列を入力し、アプリケーションが組み立てるSQL文の意味を変えて、データベースの不正な参照、改ざん、削除を行う攻撃。プレースホルダを使ってSQL文を組み立てることが根本的な対策である。

Webアプリケーションが外部プログラムの呼出しなどでOSのコマンドを実行する際、入力値に紛れ込ませた不正なコマンドを実行させる攻撃。サーバ上で任意のコマンドが実行され、情報の窃取や改ざん、マルウェアの設置につながる。シェルを経由する機能を使わないことが根本的な対策である。