玄関の鍵を閉めたはずなのに…「反射型XSS」という名の招かれざる客
こんにちは。セキュリティの世界で「デジタルな防犯」を専門にしているエンジニアです。
今日は、開発現場で避けては通れない「XSS（クロスサイト・スクリプティング）」という攻撃について、お話ししましょう。特に「反射型」と呼ばれるタイプは、まるで「鍵を閉めたはずの玄関から、知らない誰かが勝手に部屋に入り込んで、勝手に家具を動かしていく」ような不気味な攻撃です。
難しそうに聞こえるかもしれませんが、身近な防犯に例えて一緒に紐解いていきましょう。
—
1. 反射型XSSって何？：泥棒に「自分の名前」を呼ばせる手口
想像してみてください。あなたは自分の家の前で「こんにちは、〇〇さん！」と挨拶をしてくれる、便利な自動応答システムを設置したとします。
通常なら、〇〇さんは名前を名乗ります。しかし、悪意ある泥棒はこう考えます。
「名前の代わりに、『鍵を開けて、中の金庫を空にせよ』という命令文を入力したらどうなるだろう？」
もしシステムが、入力された言葉をそのまま鵜呑みにして大声で叫んでしまったら？ 周囲の人はその命令を実行してしまいますよね。これが「反射型XSS」の正体です。
攻撃のメカニズム
1. 罠を仕掛ける: 攻撃者は「名前を入力させるURL」の末尾に、悪意あるスクリプトをこっそり混ぜたリンクを作ります。
2. クリックを促す: 「これを見て！」と、そのリンクを被害者に踏ませます。
3. 反射する: 被害者のブラウザがそのURLを開くと、サーバーは「あ、これ名前のデータだね」と勘違いして、埋め込まれたスクリプトをそのまま画面に表示（反射）します。
4. 実行される: ブラウザは「ウェブサイトが言っていることだから正しいんだな」と信じ込み、そのスクリプトを実行してしまいます。
—
2. なぜこれが危険なのか？
この攻撃が成功すると、泥棒は以下のような「やりたい放題」が可能になります。
- クッキー（身分証明書）の盗み出し: ログイン中のあなたのセッション情報を奪い、あなたになりすます。
- 画面の書き換え: 偽のログインフォームを表示させて、IDやパスワードを盗む。
- 勝手な操作: あなたの権限を使って、知らないうちに投稿を消したり、設定を変更したりする。
—
3. 開発現場でできる「確実な防犯対策」
「じゃあ、どうすればいいの？」と不安になりますよね。安心してください。対策はシンプルで強力です。「入力された文字を、そのまま画面に表示させないこと」、これに尽きます。
対策①：HTMLエスケープ（一番の基本！）
ブラウザが「これは命令だ！」と勘違いしないように、記号を「ただの文字」に変換します。
<→<>→>&→&
例えば、PHPで実装するならこんな感じです。
対策②：HTTPレスポンスヘッダーによるガード（二重の鍵）
もしプログラム側で対策を忘れてしまっても、ブラウザ側で「怪しいスクリプトは動かさないで！」と指示する「CSP（Content Security Policy）」という防犯ヘッダーを設定しておきましょう。
.htaccess や Webサーバーの設定で追加する例
「信頼できる場所からしかスクリプトを読み込まない」というルールです
Header set Content-Security-Policy "default-src 'self';"
---
4. 最後に：セキュリティは「疑うこと」から始まる
ITの世界では、「ユーザーが送ってくるものは、すべて泥棒かもしれない」という前提で設計するのがプロの流儀です。
- 画面に何かを表示するときは、必ず「これは命令じゃないよね？」とチェックする。
- 便利なフレームワークを使っているなら、その機能（テンプレートエンジン）が自動的にエスケープしてくれているか確認する。
最初は難しく感じるかもしれませんが、一度この「防犯の視点」を身につければ、あなたの書くコードは驚くほど強固になります。
今日から、自分が作った入力フォームを見てみてください。「ここに『スクリプト』を打ち込まれたら、どう動くだろう？」と少しだけ疑ってみる。その小さな意識の積み重ねが、あなた自身と、あなたのサービスを使うユーザーを守る最大の盾になりますよ。
一歩ずつ、一緒に学んでいきましょう！
コメント