アプリケーションセキュリティ & 安全な開発

mXSSの深淵：ブラウザの「親切心」を悪用するDOM変異攻撃のメカニズムセキュリティエンジニアとして現場に立っていると、「サニタイズは完璧だ」という言葉ほど信用できないものはないと痛感する。特に、クライアントサイドのフィルタリングを過信して...

現場のエンジニアへ：XSSの「盲点」、mXSSにどう立ち向かうかセキュリティの現場に長くいると、「XSS対策はサニタイズしてるから大丈夫」という言葉を何度耳にすることか。しかし、その安心こそが最大の脆弱性だ。反射型や格納型は今やWAFのシグ...

こんにちは！セキュリティの世界へようこそ。日々、コードと向き合う中で「XSS（クロスサイトスクリプティング）」という言葉、一度は耳にしたことがあるのではないでしょうか？「ちゃんとサニタイズ（無害化）してるから大丈夫だよ」なんて思っているあな...

XSSという「亡霊」を葬る：自動化の限界とプロフェッショナルの直感世界中の脆弱性スキャナがどれほど進化しても、XSS（クロスサイトスクリプティング）が絶滅することはない。なぜなら、XSSは単なる「バグ」ではなく、ブラウザという「複雑怪奇な実...

XSSという「終わらない悪夢」：ツール任せの診断が招く致命的な敗北「DAST（動的アプリケーションセキュリティテスト）ツールでスキャンして、脆弱性ゼロです」。現場でそんな報告を聞くと、私はいつも頭を抱えたくなる。ツールは確かに偉大だが、それ...

その「自動スキャン」だけで安心していませんか？XSSからアプリを守る、現場のリアルな守り方こんにちは。日々、コードの裏側に潜む「穴」を塞ぐ仕事をしているセキュリティエンジニアです。今日は、Web開発の現場で避けて通れない「XSS（クロスサイ...

XSSは「死んだ技術」か？―フィッシングの最前線で見える、DOM操作の泥沼「XSS？ 今さらそんな古典的な脆弱性で記事を書くのか？」もし君がそう思ったなら、現場の最前線から少し距離を置いているのかもしれない。確かに、モダンなフレームワーク（...

「XSSはただの警告」と甘く見るな――フィッシングを許す最悪の攻撃シーケンスと、現場で生き残る防御戦略現場でコードをレビューしていると、「XSSなんて今さらアラートが出るだけでしょ？」という慢心したエンジニアに出くわすことがある。だが、今の...

その「ログイン画面」、本当に本物ですか？——XSSで仕掛けられる「見えない泥棒」の正体こんにちは。セキュリティの世界へようこそ。今日は、多くのエンジニアが「一度は聞いたことがあるけれど、実際どう動いているのかピンとこない」というXSS（クロ...

玄関の鍵を閉めても「窓」が開いていたら？：XSSとCSRFの恐ろしい連鎖こんにちは。セキュリティの世界で長く泥臭い現場を見てきた私から、今日は「Webサイトの防犯」について、少しだけリアルな話をさせてください。「うちはCookieにパスワー...