# XSSって何？ こんばんは、エンジニアのお家でまったり 青少尉ショーラジオのニューブルです。 この番組は、エンジニアだからお伝えできることや、 響きになったことなど、楽しくITを学べるチャンネルです。 聞きに来てくださって、ありがとうございます。 今日は、今更聞けないIT用語シリーズになります。 世の中のあふれているIT用語ですとか、 英語のよくわからない略称、難しいと思って避けてしまいがちな単語などなど、 この放送を聞いて、皆さんがITというものを もっと身近に感じてもらえれば嬉しいです。 また、本シリーズはハッシュタグがありますので、 そちらからこのシリーズの放送も聞いていただければと思っております。 ということで、今日はクロスサイトスクリプティングですね。 全4回シリーズでお届けしております、脆弱性シリーズ。 昨日は、データベースの中身ですね、 その辺の中身とか情報を抜き出すことができる、 または消したりすることができる、 スケールインジェクションについてお話をさせていただきました。 今日の第2回目というのは、 スケールインジェクションは作っているサーバー側の脆弱性というか、 サーバー側に何かを行うことができたんですが、 今回はもっと皆さんに身近な、 あなた自身に何か害を与えることができてしまう、 そういう脆弱性、クロスサイトスクリプティングについてお話ししていこうと思っております。 クロスサイトスクリプティングって何? っていうお話なんですが、 クロスサイトスクリプティング、 英語の略称の先頭を取ってCSSって言うんですけど、 CSSって皆さんご存知というか、 ウェブサイト作られている方ならすぐに分かるスタイルシートのCSSがありますよね。 その関係でCSSではなくて、 クロスサイトスクリプティングのクロスっていう部分をXに置き換えて、 クロスサイトスクリプティングを略字で言う場合は XSSって書きます。 この辺りちょっとめんどくさいかもしれないですけど、 ちょっと覚えていただければと思います。 クロスサイトスクリプティング、名前だけ聞くと 少し難しそうに感じると思うんですけど、 一言で言うと、サイトの中に悪い人ですね、 悪意を持った人が作った悪いプログラムを埋め込む、 これもインジェクションと同じような感じですけど、 埋め込む攻撃のことをクロスサイトスクリプティングと言います。 そのまま英語を直訳すると なんとなく分かるかもしれないですけど、 昨日の本当にSQLインジェクションというのは、 データベースですね。 サーバーにある、倉庫にあるものを盗んだりとか、 そういうことができたんですけど、 クロスサイトスクリプティングは、 これをウェブサイトなどを見たあなたから、 あなたを騙して、あなたの情報を抜き出したりとかする ということができてしまうので、 これはちょっと、今それだけを聞くと、 すごい危険だなと思うかもしれないですけど、 その辺りを例え話でお話ししていこうかなと思っております。 # 「掲示板に貼られた、怪しい付箋」で例えると？ クロスサイトスクリプティング。これを例えるなら、街の掲示板を例に出していこうかなと思っております。 皆さんがその掲示板に自由に落書きができるという掲示板が街にあったとします。 その掲示板にある日、誰かが怪しい付箋をそこにこっそり貼り付けたとします。 という状態が起きると、その掲示板を見た人がみんなその付箋を見ますよね。 その付箋に特殊な魔法がかけられていて、あなたの情報を読み込もうとすることができてしまうんですよね。 例えば、一例で言うと、その掲示板を見たときに、 掲示板を見たらちょっとウェブサイトの話になってしまいますが、 偽物のメッセージを出したりとかということができます。 ウェブサイトで例えばで言うと、 例えばログインして書き込みができる掲示板だった場合に、 ログインが切れています。ログインし直してくださいみたいなメッセージを出して、 その後に入力画面が表示される、入力画面というかログイン画面ですね。 ログイン画面が表示されて、そこにIDとパスワードを打ち込むみたいな画面が出てきたとします。 そうすると、これをお聞きのあなたはどうしますか。 そのメッセージ信じちゃいますよね。信じないほうがいいんですけど、 信じてしまって、そこにIDとパスワードを入力してしまうと、 その情報を悪い付箋を仕込んだ人のところにデータが送信されてしまいます。 すると、その情報をもとにその人が代わりに、というかなりすまして、 その掲示板にログインすることができる、そういうことができるようになってしまいます。 他にも本当にそれと同じような感じで、いろんな情報を盗むことができます。 いきなりパソコン内にある、とある別のサイトのパスワードとかは盗むのは難しいんですけど、 そういった感じでWebサーバーを作っている管理者を攻撃するのではなく、 そのサイトを使っている別の人をターゲットにした攻撃ができるようになるという形になります。 ですので、その掲示板とかはただ、これをお聞きのあなたは、 あなたとしてはただの掲示板を見ているだけなのはずなのに、 実はその悪い人が埋め込んだ悪いプログラム、悪い付箋が実は見せないようにもできたりするので、 裏でこっそり動いていて、悪さをするとか、個人情報なりを抜いて別のところに送信したりとか、 そういう本当に悪い操作ができてしまうので、これが本当にクロスライトスクリプティングの怖いところではあると思っていただければ。 なので、簡単にバイブコーディングとかデータゲームを上げられているサイトを、 むやみやたらにと言ったら悪いかもしれないですけど、 あまり使いまくると、実は悪い人の行動がそこに埋められていたら、 そういう風に攻撃されたりとかという危険性もあるというのを覚えていただければと思います。 という形で身近なところに、本当に掲示板って最近減っているんですけど、 掲示板を使いませんよとかいう方もいらっしゃるかと思うんですけど、 実はそういうだけじゃなくて、先ほど言ったようにいろんなウェブサービスあったりするので、 そういうのは注意が必要かなと思います。 あとは、Xとかインスタグラムとか、ああいう大手だったらないんですけど、 SNSとかも、例えばプロフィール欄とかだったら、自己紹介欄に入力するじゃないですか。 ああいうところに悪意のあるプログラムが、 もしクロスライトスクリプティングの対策をしていなかったら、そこに悪意のあるプログラムを埋め込まれて、 そのSNSを見ている人が、悪意のあるコードが実行されたりとかという形があったりとか、 他は検索画面とかのあるウェブサイトだったら、そこに変なコードを仕込まれて、 これが、例えばメールで送って、〇〇を検索したサイトはこちらみたいな情報がいろんなところに、 配っている人としては悪気があるわけじゃなくて、ただ単に周知したいからって配ったら、 実はそれをクリックした人の情報が盗まれたりとかという形になったりするので、 本当に危険というか、本当にそのウェブサイトが安全だと思っている大手のウェブサイトでも、 ゼロではないかもしれないし、ほぼほぼクロスライトスクリプティングと、 先ほどの昨日のSQLインジェクションに対応していないウェブサイトなんてないと思ってもいいぐらいだとは思うんですけど、 そういう被害にある脆弱性も存在するんだよというのを覚えて帰っていただければ、 帰っていくと変ですね。聞いていただければと思っております。 # まとめ＆次回予告 はい、ということでまとめです。クロスサイトスクリプティングとは、サイトの表示の内容のところに悪意のある人が悪いプログラムを混ぜ込む攻撃のことをクロスサイトスクリプティングと言います。 それによって、サイトを読んでいるユーザーのブラウザ上とかで、悪意のあるプログラムが勝手に動きますので、勝手に悪いことができて、いろんな情報を盗み出すことができるという形になります。 対策としては、昨日もお話ししたように、入力地に関しては、無害化するサニタイジングとか入力チェックとかが必要になってくるので、 Web系のエンジニアとかは、そういう悪いコードがいろんなところに仕込まれるのを防止する仕組みをいろんなところに仕込んでいるというか、同じことを言っていますね。 入力地に関しては、いろんなバリアというか、そういうのをいろんなところに仕込んでいくので、そういうのがない、できないというか、そういうのも注意して作る必要があるのかなと思います。 ということで、次回予告です。次回はちょっと来週になってしまうんですが、来週の水曜日、木曜日。まず水曜日は第3回目になります。 今回は、実際にクロスライトスクリプティングで、悪気がない人が誰でも見に行ったときに偽の情報を騙されるというか、裏で悪いコードが動かされるというか、そういう情報だったんですが、 さらにもっと実は怖い脆弱性が、有名な脆弱性の中でももっと怖いものが実は存在します。今回今までのやつは、今日のやつはですね、今日のやつは実は騙されて動いているという形にはなったんですが、来週の水曜日の第3回目は、本人の知らないうちに勝手に攻撃されるみたいな、そういう脆弱性が実は存在するんですよというお話をしたいと思います。 これが例えるならば、勝手に反抗されると言ったら表現が変かもしれないですけど、例えばいろんなショッピングサイトで勝手に商品を注文されたりすると大変じゃないですか。そういうのが実はできちゃうんですよという脆弱性が存在します。 脆弱性の名前で言うと、CSRFって英語です。四文字で書くんですけど、シーサー風とかクロスサイトリクエストフォージェリーでしたかね。正式名称はちょっとややこしい英語になるんですけど、そういうのをちょっとお話ししていこうかなと思っております。 ということで、今日の今更聞けないIT用語、今日はクロスサイトスクリプティング、XSSについてお話しさせていただきました。それでは今日も適当にまったりお過ごしください。ありがとうございました。 # おまけ：私の推しカレー おまけです。デイリートークテーマです。今日のデイリートークテーマ、私の推しカレーということで、 これまた多分、今日は何の日シリーズだと思うんですが、ということで調べてみたんですが、 今日1月22日の1982年ですね。私の誕生年ですね。 この日の1月22日に、学校給食の創立35周年を記念して、全国学校栄養士協議会が学校給食試食会を実施。 全国の小中学校の児童約800万人にカレーライスの給食が出されたってことで、それを記念してカレーライスの日にしたらしいです。 学校給食の日とかでよかったんじゃないかと思いましたけど、なんで一番人気だったんでしょうね。カレーライスが。 なのでカレーライスをこの記念の日にみんなに出して、カレーライスの日にしたというお話です。 推しのカレーライス、何かありますか?皆さん何かありますか?ぜひコメント欄で何かありましたらコメント欄でください。 で、カレーって、あんまり私レストランとかでカレー食べないんですよね。 レストランとかバイキングでもカレーってよくあると思うんですけど、なんかやっぱり、特にバイキングとかだったら米を食べると損な気持ちをしてしまうので、 より多くのおかずを食べたいので、より多くの種類を食べたいので、米はちょっと遠慮がちになってしまうので、カレーライスあんまり食べないですし、 レストランとかでもカレーライスの、良くも悪くもカレーライスって味ってだいたい想像つくじゃないですか。 なのでちょっと避けるところがあって、そういう外食でカレーライスを食べることってまずないんですよね。まずというかほぼゼロに近いかもしれないですね。 この店のこのカレーが私の推しですみたいなのがなくて、私の推しカレーって何だろうなーってちょっといろいろ考えたら、 小さい頃によく食べたカレーは、レトルトのククレカレーだったんですよね。 ククレカレーって子供の時だったのであれなんですけど、ちょっと甘い。あれって何でしょうね。 でもククレカレーのCMって、リンゴとハチミツって出てくるじゃないですか。リンゴとハチミツ、なんでしたっけ。そこしか覚えてないですけど。 そういう歌があるじゃないですか。あれがあるので、多分若者というか子供向けだったんですかね。甘く作ってたのかもしれないですよね。 なので結構好きだったんですね。ちょっと甘めで、普段母親が作ってくれるいつものカレーよりククレカレーは甘いっていう感じだったので、 たまに食べるククレカレーが大好きだったので、というふと思い出したのをちょっと紹介してみましたが、 まあでも最近はククレカレーはあんま食べないですね。ちょっと逆に、最近食べてないので味はわかってないんですけど、 なんかそういうちょっと甘いなっていうイメージがあるので、ちょっとやっぱり敬遠してしまって、レトルトカレーでも、今何でしょうね。 たまに食べることはあるんですけど、ちゃんと覚えてないというか、ちゃんと見てこのレトルトのこのカレーが食べたいみたいなのも特になくて、 でも結構あれですね、今インスタントのカレー、レトルトのカレーってすごい種類ありますよね。箱に入ってるやつ、四角い箱に入った、 あれのレトルトカレーコーナーとか行ったら、もうすごい量が、その品揃えがすごいとこだったら、もう一面、商品棚一面レトルトのカレーになっていて、 数えたら多分その店だけで100種類以上あるんじゃないかっていうお店もあったりして、その中には本当になんかいろんな普通のカレーから、 インドカレーが普通なのかわからないですけど、○○カレーとか、ちょっと特殊なのだったらグリーンカレーとかありますけど、グリーンカレーあんまり好きじゃないんですけど、 僕は構想が苦手なので、あとは○○カレー、地方のカレーとかもありますよね、○○地方の、どっかのそのどころどころのカレーがあったりとか、 地名がついてるとか、いろんなお肉もいろんな種類がありますよね、○○牛のカレーとか、ビーフにチキンに豚にいろいろ、なんで豚だけ日本語だって話ですけど、 いろんなのもあったりとか、いろんな種類がたくさんあって、見るのは好きですね結構、レトロトコーナーに行くのは、でも実際に何買う、本当にやっぱりその味がなんとなく想像つくっていうのがあるので、 今度行ってみたら変わったやつ食べたいですね、この前見つけたのはマスカットのカレーとかあったけど、そういうちょっと変わった普段普通は食べないだろうっていうのが好きなので、今度行ってみたら買ってみようかなとちょっと今思いました。 ということで、何の話をしてるのか分からなくなってきましたが、今日のトークテーマ、私の推しカレーについてお話しさせていただきました。 はい、ということで最後まで聞いていただきありがとうございました。 当チャンネル、今更聞けないIT用語シリーズとして、身近でよく聞くIT用語だけど、何それってなるような用語を誰にでも分かる形でお話しさせていただいてます。 またプレミアム放送もやっております。プレミアム放送では公開できないプライベートなお話ですとか、一般放送よりも先に情報を公開するなど、プレミアムの方だけ限定放送も行っておりますので、ぜひ興味のある方は登録お願いします。 その他、各種SNSでも発信活動を行っておりますので、フォローの方よろしくお願いします。 ということで、それでは今日も適当にまったりお過ごしください。ありがとうございました。