XSS：投稿された内容が他の人のブラウザで動く

レン

コメント機能を作ったよ。投稿された文章をそのまま表示してるだけ。

ウィルスン

「そのまま」か。良い響きだ。ではワタシは、文章ではなくプログラムを投稿しよう。それがそのまま表示されれば、他の閲覧者のブラウザでワタシのプログラムが動くことになる。

レン

他の人のブラウザで！？ぼくのサーバーじゃなくて？

プロクラ

そこがこの攻撃の厄介なところだよ。被害を受けるのはサーバーではなく、そのページを見に来た利用者なんだ。攻撃者はキミのサイトを、他人を攻撃するための踏み台にする。

何をされるのか

• ログイン中の利用者のセッション情報を盗み、なりすます
• 偽のログインフォームを表示させ、パスワードを入力させる
• 利用者が意図しない操作を、本人の権限で実行させる
• 別のサイトへ勝手に転送する

防ぎ方：表示するときに無害化する

プロクラ

考え方はSQLインジェクションと似ているよ。「データ」と「命令」を混ぜないこと。投稿された文字を画面に出すときに、HTMLとして特別な意味を持つ記号を、ただの文字として表示されるよう変換する。これをエスケープと言うんだ。

プロクラ

重要なのは、保存するときではなく「表示するとき」に処理することだよ。同じデータでも、表示する場所によって必要な処理が違うからね。

レン

自分で全部やらないとダメ？

プロクラ

いや、最近のフレームワークは標準でエスケープしてくれるものが多いよ。危険なのは、それを自分で無効にしたときなんだ。「HTMLをそのまま出力する」機能を使うときは、本当に必要か立ち止まって考えよう。

投稿でHTMLを許可したい場合

プロクラ

装飾を許したい場合もあるよね。その場合は、自作の除去処理ではなく、実績のある専用ライブラリで「許可するタグだけを通す」方式にしよう。この手の処理は抜け道が多く、自作はまず失敗するからね。