クロスサイトスクリプティング（XSS）の種類、防御策および一般的なペイロード構築手法
XSSとは
クロスサイトスクリプティング（XSS）は、WebサイトがユーザーのブラウザでHTMLドキュメントをレンダリングする過程で、予期せぬスクリプトが実行されてしまう脆弱性です。最も単純な例として、<script>alert(1)</script>が挙げられます。
XSSの種類
反射型XSS
攻撃者が作成した悪意のあるURLをユーザーがクリックすることで、ユーザーのブラウザ上で ...
8月4日 23:28 投稿
Webアプリケーションの主要なセキュリティ脅威と防御戦略
クロスサイトスクリプティング（XSS）
XSSは、悪意のあるスクリプトをWebページに埋め込み、閲覧者のブラウザ上で実行させる攻撃手法である。ユーザーのセッション情報の窃取や、不正な操作の実行などを引き起こす。
反射型XSS（非持続型）
攻撃者が仕掛けた悪意のあるURLをユーザーが開くことで発動する。URLのパラメータから直接スクリプトが読み込まれ、レンダリングさ ...
8月2日 08:02 投稿
PHPコードレビューの課題2: filter_var()関数の脆弱性
脆弱性分析
以下のコードを例にとって、XSS（クロスサイトスクリプティング）脆弱性について調査します。
<?php
require 'vendor/autoload.php';
class Template{
private $twig;
public function __construct()
{
$templateString = 'img src="https://loremflickr.com/320/240"><a href="{{url|esc}}">次のスライド »</a>';
...
7月10日 23:39 投稿
XSS 攻撃の基本と対策
クロスサイトスクリプティング (XSS) は、Web アプリケーションで最も一般的なセキュリティ脆弱性の一つです。この脆弱性を利用すると、攻撃者は正規の Web ページに悪意のあるスクリプト (通常は JavaScript) を埋め込むことができます。ユーザーがそのページを訪問すると、埋め込まれたスクリプトが実行され、ユーザーを攻撃する目的が達成されます。XSS 脆弱性は、他の ...
7月6日 23:23 投稿
Webアプリケーションのペネトレーションテスト手順
1. 情報収集フェーズ
1.1 テスト対象の特定
このフェーズでは、対象となるWebアプリケーションやシステムの範囲を明確にし、関連する技術スタック（IPアドレス、ドメイン、OS、Webサーバ、フレームワークなど）を把握する。以下のツールが情報収集に有効である：
ツール名用途
Nmapポートスキャンおよびサービス識別
Whoisドメイン登録者情報の取 ...
6月22日 17:13 投稿
js-cookieのセキュリティ対策:脆弱性から修正までの実践
js-cookieのセキュリティ対策:脆弱性から修正までの実践
現代のウェブ開発において、ブラウザのCookieを扱うことは重要なタスクです。js-cookieは軽量で使いやすいJavaScript APIで、Cookieの管理を簡素化しますが、これほど熟したライブラリでもセキュリティ上のリスクが存在する可能性があります。ここでは、js-cookieの脆弱性の特定から修正までのプロセスを詳しく解説 ...
5月22日 18:08 投稿
XSSラボ実践記録（前編）
レベル1
ページにアクセスすると、GETパラメータで渡されたnameの値がそのまま表示される。ソースコードを確認すると、入力値に対して一切のサニタイズが行われていないため、典型的な反射型XSSの脆弱性が存在する。
<script>alert(/xss/)</script>
レベル2
入力値がHTMLのinputタグのvalue属性内に埋め込まれている。この場合、属性値を閉じてスクリプトを挿 ...
5月22日 01:33 投稿