教科書で学ぶセキュア開発(バイデザイン原則と脆弱性対策)
定義クロスサイトスクリプティング対策は、利用者が入力した文字列が、Webページを見た人のブラウザでスクリプト (ブラウザ上で動く簡単なプログラム) として実行されないようにする対策である。
解説クロスサイトスクリプティング (XSS) は、入力内容をそのまま表示してしまう Webサイトを通じて、攻撃者が仕込んだスクリプトを閲覧者のブラウザで動かす攻撃で、ログイン情報の盗み取りなどに使われる。主な対策は、入力された文字列をページに表示する前に、「<」や「>」のように HTML で特別な意味を持つ記号を、ただの文字として表示される形に置き換えるエスケープ処理である。このように入力中の危険な文字列を無害な形に変える処理を、まとめてサニタイジングと呼ぶ。
たとえ掲示板の管理人が、届いた貼り紙をそのまま貼らず、中の仕掛けが動かないよう透明なケースに入れてから掲示するようなもの。
記憶フック「クロスサイト」は「サイトをまたぐ」という意味で、攻撃者が用意した罠のページなどから、脆弱な別の Webサイトへとスクリプトが渡され、そのサイトの上で実行されることが名前の由来。