Cross-Site Scripting: Self

未検証のデータを Web ブラウザーに送信すると、結果としてブラウザーで悪意のあるコードが実行される可能性があります。

次の場合に、Cross-Site Scripting (XSS) の脆弱性が発生します。

1.信頼できないソース経由でデータが Web アプリケーションに入り込んだ場合。セルフ XSS の場合、データはテキスト ボックス、または DOM から制御できる他の値から読み取られ、クライアントサイドのコードを使用して再びページに書き込まれます。


2.未検証で Web ユーザーへ送信される動的コンテンツにデータが含まれている場合。セルフ XSS の場合、DOM (ドキュメント オブジェクト モデル) 変更過程の一部として悪意あるコンテンツが実行されてしまいます。

セルフ XSS の場合、悪意のあるコンテンツは、JavaScript の一部という形態か、ブラウザーが実行するあらゆるタイプのコードの形態を取っています。セルフ XSS は主に自分による攻撃であるため、多くの場合は重要でないと見なされていますが、次のいずれかが発生する可能性がある場合は、標準の XSS 脆弱性と同じように扱う必要があります。

- 自分の Web サイトで Cross-Site Request Forgery 脆弱性が見つかった場合。
- ソーシャル エンジニアリング攻撃によってユーザーに自分のアカウントを攻撃するように仕向けてセッションを侵害できる場合。
例 1: 次の HTML フォームを検討します。

<div id="myDiv">
  Employee ID: <input type="text" id="eid"><br>
  ...
  <button>Show results</button>
</div>
<div id="resultsDiv">
  ...
</div>

次の jQuery コードは、従業員 ID をテキスト ボックスから読み取ってユーザーに表示します。

$(document).ready(function(){
  $("#myDiv").on("click", "button", function(){
    var eid = $("#eid").val();
    $("resultsDiv").append(eid);
    ...
  });
});

これらのコード例は、ID が eid のテキスト入力からの従業員 ID に標準の英数字テキストのみが含まれる場合に正しく動作します。eid にメタ文字またはソース コードが含まれている場合、ユーザーがボタンをクリックすると、このコードがブラウザーの DOM に追加されて実行できるようになります。攻撃者がユーザーに悪意ある入力をテキスト入力に入れるように仕向けることができれば、これは DOM ベースの XSS になります。