セキュリティ（XSS）についての質問

脆弱性診断ツールで診断していたら、テキストボックスにスクリプトを埋め込むことが可能であることがわかりました。

ここで疑問に思ったのが、テキストボックスにスクリプト埋め込めるからどうなるんだ？という点です。

動的にソースを作っているなら（例えばGETパラメータの値を直接書き込むなど）URLを書き換えて踏ませれば
せっしょんIDが取れることがわかるのですが、

テキストボックスにスクリプトを埋め込んだとしても、ほかの人のブラウザを操ったりsessionIDを取ろうとしても自分のものだったりでいまいち危険性がわかりません。

誰か、テキストボックスにスクリプトを埋め込むことができる場合の危険性を教えてください。

行動規範の内容に同意します

回答2件

テキストボックスにスクリプトを埋め込んだとしても、ほかの人のブラウザを操ったりsessionIDを取ろうとしても自分のものだったりでいまいち危険性がわかりません。

投稿を他人も見られるサイトの場合、そのJavaScriptを他人に実行させることも可能です。

投稿2019/01/03 03:43

maisumakun

総合スコア145183

ベストアンサー

POSTメソッドの場合を想定されているのだと思いますが。
以下のような「罠」のページをインターネット上のどこかに設置したとします。action属性で指定したURLは、XSS脆弱性のあるページだとします。

<body>
<form action="http://example.jp/vulnerable.php" method="post">
<textarea name="vulinput">
&lt;script>alert(document.cookie)&lt;/script>
</textarea>
<input type="submit">
</form>
</body>

これを、脆弱性のあるサイトの利用者（被害者）が閲覧し、SUBMITボタンを押すと、script要素を含む文字列が脆弱性のあるページに送信されるので、XSS脆弱性によりJavaScriptが実行されます。上の例だと、単にクッキーがブラウザ上で表示され、それを被害者である利用者が閲覧するだけですが、JavaScriptを変更すれば、攻撃者の管理するサイトにクッキーの値を送信することができます。さらにJavaScriptを工夫することにより、個人情報そのものを取得できたり、ウェブサイトの機能を勝手に実行したりできます。

さらに、上記の例では被害者がボタンを押さなければ罠は発動しませんが、JavaScriptの仕組みを追加することで、被害者が罠を閲覧しただけで、罠が発動します。

つまり、上記のような罠を作成し、被害者を罠に誘導することにより、被害者のブラウザ上でJavaScriptを実行し、個人情報を奪ったり、勝手にウェブサイトの機能を実行させることが可能です。

投稿2019/01/03 05:03