【Web】XSS - ハッピーメモメモ

・発生個所

Webアプリケーション上でHTML、Javascriptを生成している箇所

・影響を受けるページ

Webアプリケーション全体

・外部からJavascriptを注入することで、クッキーにセットされたセッションIDが読み出せる

・脆弱な検索ページの利用者が罠を閲覧すると、XSSの仕掛けにより、セッションＩＤが攻撃者にメールされる

・XSSを悪用したワーム

・最近はAjaxの流行により、JavascriptからWebアプリケーションの様々な機能を呼び出すためのプログラム（API）が用意されているWebサイトが増加している。APIは攻撃に悪用することも可能なので、XSSとJavascriptの組み合わせによる攻撃がしやすくなっている。

・form要素のaction属性を罠サイトのURLに変更

・XSS攻撃は常にJavascriptを使うとは限らない

・HTMLの要素内容…htmlspecialchars関数によりエスケープ

・属性値…htmlspecialchars関数によりエスケープしてダブルクォートで囲む

・HTTPレスポンスに文字エンコーディングを明示する

・X-XSS-Protection　レスポンスヘッダの使用

・入力値検証

・クッキーにHttpOnly属性を付与

・TRACEメソッドの無効化

参考：