クロスサイトスクリプティング（XSS）の全種類（反射型・格納型・DOM型）と防御

XSSの「検知」という幻影：WAFとSIEMを繋ぐ泥臭いリアリズム多くのセキュリティエンジニアが勘違いしていることがある。WAF（Web Application Firewall）を導入し、「XSS防御を有効にしました」と報告書に書いた瞬間...

XSSは「防ぐ」だけでなく「狩る」ものだ：WAFとSIEMで構築する攻撃検知の最前線「XSSなんて今さら教えることあるか？」と思うかもしれない。確かに、htmlspecialchars()やDOMPurifyを正しく使えば脆弱性は防げる。し...

泥棒が「合鍵」を作るのを防げ！XSS攻撃とログ分析の現場からこんにちは。セキュリティの世界へようこそ。「XSS（クロスサイトスクリプティング）」という言葉、セキュリティの入門書で必ずと言っていいほど見かけますよね。でも、教科書通りの説明を読...

テンプレートエンジンの「自動エスケープ」は銀の弾丸か：XSS深層防衛のアーキテクチャ多くの開発者が「Jinja2やThymeleafを使っているからXSSは安全だ」と安直に考えている。だが、実戦の現場で私がレビューするコードの多くは、その信...

テンプレートエンジンの「自動エスケープ」を過信するな：XSSを防ぐための防弾設計現場でインシデント対応をしていると、「うちはモダンなフレームワークを使っているからXSSなんて起きない」と胸を張るエンジニアに出くわすことがある。だが、残念なが...

玄関の鍵を自分で外してはいけない：テンプレートエンジンの「自動エスケープ」が守るあなたのサイトこんにちは。現場でセキュリティの最前線に立っているエンジニアです。今日は、Web開発の現場で避けては通れない「XSS（クロスサイトスクリプティング...

XSS防御の終焉と再生：DOMPurifyを「ただのライブラリ」で終わらせないための設計思想Webアプリケーションの脆弱性診断において、XSS（クロスサイトスクリプティング）はもはや「古典」として片付けられがちだ。しかし、現場の最前線に立つ...

XSSの「教科書」はもう捨てろ：現場で通用するDOMPurify防御の深層「サニタイズしてますから大丈夫です」。コードレビューでこの言葉を聞くたび、私は背筋が凍る思いがする。htmlspecialchars() を適当に使って「はい、XSS...

「悪意あるスクリプト」を玄関で追い返せ！XSS対策とDOMPurifyの正しい使い方こんにちは。セキュリティの現場で長年、泥臭いインシデントと戦い続けているエンジニアです。今日は、Web開発の現場で避けては通れない「クロスサイトスクリプティ...

こんにちは。セキュリティの世界へようこそ。現場で泥臭いインシデント対応をしていると、「完璧な要塞なんて存在しない」という現実に直面します。でもね、だからこそ「最低限、泥棒に窓を全開で放置しない」という基本的な心がけが、あなたのプロジェクトを...