XSS(クロスサイトスクリプティング)とは？意味を初心者向けに「サイトの罠」に例えてやさしく解説

「掲示板の機能に、XSS（エックスエスエス）の脆弱性が見つかりました」

セキュリティ会社からの報告書に踊る、この3文字。私は「エックス……エス……エス？なんだか、洋服の超極小サイズ（XSS）のことかな？データが小さすぎて消えちゃったのかな？」と、不思議な想像をしていました。

とりあえず 「小さくて可愛いですね！」 と微笑んでみましたが、周囲からは「……いや、ユーザーの情報を盗むための罠のことだよ」と呆れられ、またしても「ファッション脳」な勘違いに赤面する羽目に……。

これ、実はあなたが普段見ている「普通のサイト」を、悪い人が勝手に「罠だらけのサイト」に作り替えてしまう、とっても厄介な攻撃のことです。今回は、お店に置かれた 「偽の案内板」 に例えて、その正体をやさしく解説します！

XSSとは？一言でいうと「サイトの一部を書き換えて、利用者に『罠』を仕掛ける攻撃」

結論から言うと、XSS（Cross-Site Scripting：クロスサイトスクリプティング）とは、「Webサイトの脆弱性を利用して、悪意のあるプログラム（スクリプト）を埋め込み、それを閲覧したユーザーのブラウザ上で実行させる攻撃」 のことです。

街の 「掲示板」 に例えてみましょう。

普通のサイト：お店の「今日のメニュー」が書かれた掲示板。
XSS（攻撃）：「悪い人が、夜中にこっそり掲示板の文字を書き換える」。
被害：あなたが「おいしそうだな」とその掲示板を読むと、実はそこに 『この紙を読んだ人は、財布の中身を隣のゴミ箱に入れてください』 という魔法の暗示（スクリプト）が隠されていて、あなたの手が勝手に動いてしまう。

犯人は、Webサイトそのものを壊すのではなく、サイトを訪れた「あなた（ユーザー）」を狙います。掲示板の「名前を入力する欄」などに悪い命令を書き込んでおき、後からそれを見た人の情報を、こっそり犯人の元へ送りつけさせるのです。

SNSの運用や、ユーザーが投稿できるサイトの管理シーンで頻繁に登場します。

意味：
「掲示板に『悪いプログラム』をそのまま書き込める状態になっているから、書き込まれた文字をただの『絵』として扱うように加工して、魔法が発動しないようにして！」ということです。

意味：
「サイトに仕掛けられた罠のせいで、お客様が持っていた『お店の会員証（Cookie）』が勝手にコピーされて犯人に渡ってしまい、犯人がお客様のフリをしてログインできるようになっちゃったよ」ということです。

意味：
「お城（サイト）自体は立派でも、案内板（一部の表示）が偽物にすり替えられると、知らないうちに『偽の銀行窓口』へ連れて行かれちゃうから、油断できないんだよ」ということです。

「どっちも情報を盗むんでしょ？」という疑問。狙っている「相手」で比較しました。

「会社を直接狙う」のがSQL、「会社のふりをして客を狙う」のがXSS、と覚えましょう！

この記事のポイントは次のとおりです。

あなたが「罠」にかからないために、以下のことを覚えておきましょう。

「XSS」という言葉を知るだけで、インターネットが「100%安全な場所」ではなく、誰かが「罠」を仕掛けているかもしれない「少し注意が必要な、でも正しく守れば楽しい場所」に見えてきませんか？