【テクニカル・上級編】蓄積型XSS(Stored XSS)の永続的脅威とデータベース汚染 – アプリケーションセキュリティ & 安全な開発防御ガイド

蓄積型XSSの深層：データベースを汚染する「見えない時限爆弾」とアーキテクチャの防壁

「入力値のサニタイズは終わっているから大丈夫」。コードレビューでこの言葉を聞くたび、私は背筋が凍る思いをする。現代のアプリケーション開発において、Stored XSS（蓄積型クロスサイトスクリプティング）は単なる「アラートボックスが出る脆弱性」ではない。それはデータベースを媒介とした、永続的な制御権奪取の手段であり、攻撃者にとっての「永続的拠点（Persistence）」そのものだ。

本稿では、表面的な対策に終始するエンジニアに向け、Stored XSSがなぜこれほどまでに凶悪で、いかにして現代の多層防御アーキテクチャで封じ込めるべきかを、泥臭い実戦の観点から解き明かす。

—

1. データベース汚染のメカニズム：なぜ「保存」が致命的なのか

Stored XSSの真の脅威は、攻撃コードがDBのレコードとして「正当なデータ」の皮を被って存在し続ける点にある。

通常の反射型XSSが一度限りの使い捨てであるのに対し、蓄積型は、例えば掲示板の投稿、ユーザーのプロフィール、あるいはCRMに蓄積された顧客データの中に潜む。攻撃者は一度のインジェクションで、そのページを閲覧する全てのユーザー（管理者を含む）のセッションを奪い、CSRFトークンを抜き取り、さらにはバックエンドへの二次攻撃（XST）の踏み台に利用する。

ここで重要なのは、「サーバーサイドのデータ保持とクライアントサイドのコンテキストが分離されている」というWebの基本構造そのものが脆弱性になり得るという事実だ。

低レイヤからの視点：なぜブラウザは実行してしまうのか

ブラウザは受け取ったHTMLを逐次レンダリングする際、Content-Type: text/htmlであれば、それがDBから読み出されたデータか、静的ファイルか、CGIの出力かなど気にしない。ブラウザのパーサーにとっては、