見出し画像: Avastより
https://academy.avast.com/hubfs/lp/academy/xss.png

XSS:クロスサイトスプリクティング

XSSについて下記図を参照して説明していきます。

まず、攻撃者は

脆弱性のあるサーバーに不正なスクリプト(罠)を埋め込みます。
　　*スクリプト：簡単に実行できる簡易プログラムのようなもの

その後、攻撃者は

• 脆弱性のあるサーバー内に仕掛けた不正スクリプトをユーザーが実行するのを待つ

• メールやSNSなどを使ってユーザーに罠リンクを送信（図の①）

などを行い、

ユーザが不正スクリプト（下記図のスクリプト１）を実行してしまうと別のWebサイトに移動（クロス）し、
悪意のあるスクリプト（下記図のスクリプト２）を実行させようとしてきます。
例）

これをユーザーが実行してしまうと、個人情報や口座内容、クッキーの内容などが攻撃者に流出してしまうわけです。

ここまでの流れがXSS(クロスサイトスプリクティング)です。

やはり、ユーザ自身は、心当たりのない人からのメールURLは安易に開かないことや、インターネット上で個人情報の入力を求められても安易に入力せずに疑ったりなどが必要だと感じます。

XSSを根本的に対処するためには

XSSは脆弱性のあるサーバーに不正スクリプトを埋め込むところから始まります。そこで不正スクリプトを埋め込ませないためにWAFを導入することにより、サイバー攻撃から、サーバーを守ることにつながります。

WAFとは

WAFによって、Ｗebサーバーへのすべての要求はいったん安全かどうかを検査されるため、Webサーバーに不正スクリプト埋め込むところから始まるXSSは通信を遮断され機能しません。