こんにちは！株式会社テラ テクニカルチームです！

Webサイトの脆弱性診断を実施すると、

「クロスサイトスクリプティング（XSS）の脆弱性があります」

と指摘されることがあります。

しかし、Web担当者の方からすると、

「クロスサイトスクリプティングって何？」
「Webサイトのどこが悪いの？」
「何を修正すればいいの？」

と分かりにくい言葉ではないでしょうか。

今回は、Webサイトの脆弱性診断で「XSS」を指摘された場合に、どのような問題なのか、どのように対応を進めればよいのかを分かりやすくご紹介します！

クロスサイトスクリプティング（XSS）とは？

クロスサイトスクリプティング（XSS）とは、Webサイトの入力・表示処理などの問題を利用して、意図しないスクリプトをWebページ上で実行させてしまう脆弱性です。

IPAでは、検索結果、個人情報入力後の確認画面、エラー画面、コメント表示など、外部から入力された情報をWebページへ出力する機能で注意が必要としています。

悪用された場合、

・正規サイト上に偽の情報を表示される
・偽の入力フォームへ誘導される
・Cookie等の情報を取得される
・利用者になりすまされる

といった被害につながる可能性があります。

どんなWebサイトで起こるの？

XSSは、特別なWebサービスだけの問題ではありません。

たとえば、

・サイト内検索
・お問い合わせフォーム
・会員登録
・アンケート
・入力内容の確認画面
・エラーメッセージ
・CMSから入力したコンテンツの表示

など、入力された情報を画面へ表示する機能があるサイトでは確認が必要です。

つまり、一般的な企業サイトでも発生する可能性があります。

診断でXSSを指摘されたら、何をすればいい？

まず、

「どのURL・どの機能で脆弱性が検出されたのか」

を確認します。

脆弱性診断結果には、対象となったURLやパラメータ、検出内容などが記載されていることがあります。

その情報をもとに、Webサイト側のプログラムを確認します。

代表的な対策としては、Webページへ文字列を出力する際に適切なエスケープ処理を行うことなどがあります。

IPAも、HTMLとして扱う必要のない文字列について、Webページへ出力する要素に適切なエスケープ処理を行うことを根本的な対策として案内しています。

ただし、実際に必要な修正方法はWebサイトの実装によって異なります。

診断結果だけで修正箇所は分かる？

診断結果に対象URLやパラメータが記載されていれば、かなり絞り込むことができます。

そこから、

・対象ページのHTML
・JavaScript
・PHP等のプログラム
・CMSのテンプレート
・フォーム等の入力処理

を確認し、どこで問題が起きているのかを調査します。

修正後には、

「脆弱性を修正できているか」
＋
「既存のWebサイト機能が正常に動いているか」

の両方を確認する必要があります。

安全に対応するには？

基本的には、

1．脆弱性診断結果を確認する

↓

2．対象URL・機能を特定する

↓

3．Webサイトの実装を調査する

↓

4．原因となるプログラムを修正する

↓

5．検証環境で動作を確認する

↓

6．必要に応じて再診断する

↓

7．本番環境へ反映する

という流れになります。

XSSの場合、「ライブラリを最新版へ更新すれば解決」というケースだけではなく、Webサイト独自のプログラムそのものを修正する必要があることもあります。

そのため、診断会社から結果を受け取ったあと、

「それで、Webサイトのどこを直せばいいの？」

という部分で困るケースがあります。

脆弱性診断結果を受け取ったら、まずはプロにご相談ください

「脆弱性診断を実施したらXSSを指摘された」

「診断会社からレポートをもらったけれど、どう直せばよいか分からない」

「以前Webサイトを制作した会社との契約が終わっている」

そんな段階でも問題ありません。

株式会社テラでは、Web制作会社として、

・脆弱性診断結果の確認
・対象となっているページ・機能の調査
・HTML、JavaScript、PHP等の実装確認
・Webサイト側のプログラム修正
・修正後の表示・機能確認

などをご相談いただけます。

なお、高度なセキュリティ診断やサーバー・ネットワークなどのインフラ領域については、専門事業者との連携や別途対応が必要になる場合があります。

私たちは、診断結果を受け取ったあとに「Webサイトを実際にどう直すか」という、Web制作・開発側の対応をお手伝いします。

脆弱性診断の結果を見ても対応方法が分からない場合は、まずはお気軽に株式会社テラまでご相談ください。