MENU
  1. ホーム
  2. Apache
  3. Apacheで学ぶReflected XSSとStored XSSの違いと具体的な対策方法

Apacheで学ぶReflected XSSとStored XSSの違いと具体的な対策方法

Apache

Apacheサーバーを運用する際、Webアプリケーションのセキュリティ対策は欠かせません。特にXSS（クロスサイトスクリプティング）攻撃は、ユーザーの個人情報の流出や悪意のあるスクリプトの実行につながり、大きなリスクをもたらします。XSSには主に「Reflected XSS（反射型XSS）」と「Stored XSS（蓄積型XSS）」の2種類があり、それぞれ攻撃手法や影響が異なります。

本記事では、Apache環境で運用するWebサイトを守るために、Reflected XSSとStored XSSの違いを明確にし、それぞれの攻撃例と具体的な対策方法を解説します。実際のサンプルコードや設定例を交えながら、どのように防御を強化できるのかを詳しく説明します。
Apacheを利用するWebエンジニアやサーバー管理者が、実践的なXSS対策を講じられるようになることを目的としています。

目次

XSSとは何か – 基本の理解


XSS（クロスサイトスクリプティング）とは、悪意のあるスクリプトがWebサイトに埋め込まれ、ユーザーのブラウザで実行される脆弱性攻撃の一種です。これにより、ユーザーの個人情報が盗まれたり、セッションが乗っ取られたりする可能性があります。

XSSの仕組み


XSS攻撃は、信頼されたWebサイトのコンテンツにスクリプトを注入し、ユーザーがそのページを開いた際に意図しないスクリプトが実行されることで発生します。通常、XSS攻撃は以下の流れで行われます。

  1. 悪意のあるスクリプトがWebサイトの入力フィールドやURLに挿入される。
  2. サーバーがスクリプトを正しく検証せずにHTMLとしてレスポンスを返す。
  3. ユーザーのブラウザがページを表示し、スクリプトが実行される。

XSSが引き起こす主なリスク

  • 個人情報の窃取：ユーザーのセッションIDやクレジットカード情報などが盗まれる。
  • フィッシング攻撃：信頼されたサイトを模倣し、ユーザーからパスワードや個人情報を盗む。
  • サイト改ざん：表示内容が改ざんされ、偽の情報がユーザーに提示される。

XSSの種類


XSSは大きく分けて3つのタイプがあります。

  • Reflected XSS（反射型XSS）：攻撃者が仕込んだスクリプトが即座に実行されるタイプ。
  • Stored XSS（蓄積型XSS）：サーバーに悪意のあるスクリプトが保存され、複数のユーザーに影響を与える。
  • DOM-based XSS：クライアントサイドでDOM（Document Object Model）が操作され、スクリプトが実行されるタイプ。

次のセクションでは、Reflected XSSとStored XSSの具体的な仕組みや特徴について詳しく解説します。

Reflected XSSの仕組みと特徴


Reflected XSS（反射型XSS）は、ユーザーが送信したデータが即座に反映され、悪意のあるスクリプトがユーザーのブラウザで実行される攻撃手法です。通常、攻撃者はURLパラメータやフォームの入力値にスクリプトを仕込み、ユーザーがそのURLにアクセスするとスクリプトが反映されて実行されます。

Reflected XSSの仕組み


Reflected XSSは、WebサーバーがリクエストパラメータをそのままHTMLとして反映する際に発生します。以下は典型的な流れです。

  1. 攻撃者がスクリプトを含むURLを作成し、ターゲットに送る。
  2. ユーザーがそのURLをクリックしてWebサイトにアクセス。
  3. サーバーがユーザーからのリクエストを受け取り、スクリプトをそのままレスポンスとして反映。
  4. ユーザーのブラウザがスクリプトを実行し、個人情報の盗難やセッションハイジャックが行われる。

具体例


例として、以下のようなURLが挙げられます。

https://example.com/search?q=<script>alert('XSS')</script>


このURLにアクセスすると、検索結果ページに<script>alert('XSS')</script>が挿入され、ポップアップが表示されます。

Reflected XSSの特徴

  • 一時的な攻撃：スクリプトはユーザーがアクセスしたときにのみ実行され、サーバーには保存されません。
  • ターゲットが限定的：攻撃が成功するのは、URLをクリックしたユーザーのみです。
  • フィッシングとの併用：URLが巧妙に隠され、公式サイトを装って攻撃が行われます。

被害例

  • セッションIDの盗難：ユーザーがログインしている状態で攻撃を受けると、セッションIDが盗まれる可能性があります。
  • キーロガーの挿入：攻撃者がキーロガースクリプトを挿入し、ユーザーが入力するデータが盗まれます。

次はStored XSSの仕組みと特徴について詳しく見ていきます。

Stored XSSの仕組みと特徴


Stored XSS（蓄積型XSS）は、悪意のあるスクリプトがサーバーに保存され、複数のユーザーに対して繰り返し実行される攻撃手法です。攻撃者がスクリプトを掲示板やコメント欄、プロフィールページなどに埋め込むことで、サイトを訪れる全てのユーザーが被害を受ける可能性があります。

Stored XSSの仕組み


Stored XSSは、ユーザーが送信したデータがサーバー上のデータベースやファイルに保存され、ページが表示される際にそのままHTMLとして出力されることで発生します。以下の流れで行われます。

  1. 攻撃者がフォームやコメント欄に悪意のあるスクリプトを入力。
  2. 入力データがデータベースに保存される。
  3. 他のユーザーがページを閲覧する際、保存されたスクリプトがHTMLの一部として出力される。
  4. ユーザーのブラウザがスクリプトを実行し、被害が発生する。

具体例


例として、以下のようなコメントが掲示板に投稿されたとします。

<script>document.cookie='stolen='+document.cookie</script>


このコメントが保存されると、他のユーザーがページを開いた際にスクリプトが実行され、そのユーザーのクッキー情報が攻撃者に送信されます。

Stored XSSの特徴

  • 持続的な攻撃：一度スクリプトが保存されると、複数のユーザーがアクセスするたびに攻撃が発生します。
  • 広範囲に影響：サイト全体に影響が及び、大量のユーザーが被害に遭う可能性があります。
  • 検出が難しい：サイト管理者が異常に気づきにくく、攻撃が長期間続く場合があります。

被害例

  • 個人情報の大量流出：ユーザーのセッション情報や認証トークンが盗まれ、大規模なデータ漏洩が発生。
  • 改ざんされたページ表示：サイトの表示内容が改ざんされ、ユーザーが偽の情報を閲覧することになります。
  • ランサムウェアの拡散：スクリプトがランサムウェアのダウンロードリンクを埋め込み、マルウェア感染が拡大します。

次に、Reflected XSSの具体的な攻撃例について解説します。

Reflected XSSの具体的な攻撃例


Reflected XSS（反射型XSS）は、ユーザーが特定のURLをクリックした際にスクリプトが即座に実行される攻撃です。ここでは、Apacheを利用したWebサイトで発生する具体的な攻撃例を紹介し、その危険性を明らかにします。

攻撃シナリオ


シナリオ: Webサイトに検索機能があり、検索結果ページにユーザーが入力した検索語がそのまま反映されるケースです。
検索結果を表示する際に入力値がサニタイズ（無害化）されていない場合、攻撃者は次のようなスクリプトを仕込むことができます。

コード例


以下のコードは、ユーザーが検索したキーワードをそのままHTMLに出力している例です。

<html>
<body>
<h1>検索結果</h1>
<p>「<b><?php echo $_GET['q']; ?></b>」の検索結果はありません。</p>
</body>
</html>

この場合、攻撃者は次のようなURLをターゲットに送信します。

https://example.com/search?q=<script>alert('XSS攻撃成功')</script>

攻撃結果:
ユーザーがこのURLをクリックすると、検索結果ページに<script>alert('XSS攻撃成功')</script>が挿入され、アラートが表示されます。実際には、この手法を使って以下のような悪質な行為が可能です。

  • セッションハイジャック
  • クッキーの盗難
  • フィッシングサイトへのリダイレクト

攻撃の影響

  • 一時的だが深刻な影響：URLをクリックしたユーザーに即座に影響が及びます。
  • 信頼性の損失：ユーザーはサイトの安全性を疑うようになり、サイトの評判が低下します。
  • 標的型攻撃：特定のユーザーや企業を狙った攻撃が可能です。

対策の必要性


次のセクションでは、Apacheを活用してReflected XSSを防ぐ具体的な方法について詳しく解説します。

Stored XSSの具体的な攻撃例


Stored XSS（蓄積型XSS）は、サーバーに保存された悪意のあるスクリプトが、サイトを訪れた複数のユーザーに繰り返し実行される攻撃です。ここでは、Apache環境で運用される掲示板やコメント欄を例に、Stored XSSの具体的な攻撃例を紹介します。

攻撃シナリオ


シナリオ: ユーザーが掲示板にコメントを投稿できるWebサイトがあるとします。このサイトは投稿内容をデータベースに保存し、ページに表示する仕組みですが、入力値のサニタイズが適切に行われていません。

コード例


以下のPHPコードは、ユーザーが投稿したコメントを保存し、そのままHTMLに出力する例です。

<?php
  $comment = $_POST['comment'];
  $db->query("INSERT INTO comments (content) VALUES ('$comment')");
  echo "<p>あなたのコメント: $comment</p>";
?>

攻撃者は次のようなスクリプトをコメント欄に投稿します。

<script>document.cookie='stolen='+document.cookie</script>

攻撃結果


このスクリプトがデータベースに保存されると、サイトを訪れるすべてのユーザーがコメントを閲覧した際にスクリプトが実行されます。
結果: ユーザーのクッキー情報が攻撃者に送信され、セッションが乗っ取られる可能性があります。

影響範囲

  • 持続的な攻撃：一度攻撃が成功すると、ページが修正されるまで被害が続きます。
  • 多くのユーザーに影響：サイトを訪れたすべてのユーザーが標的となります。
  • サーバーの改ざん：スクリプトがさらに悪意のあるコードを呼び出し、サイト全体が改ざんされる場合もあります。

実際の被害例

  • ソーシャルメディアの改ざん：コメント欄やプロフィール欄に埋め込まれたスクリプトが拡散し、大規模な情報漏洩につながったケースがあります。
  • ランサムウェアの拡散：悪意のあるスクリプトがランサムウェアのダウンロードリンクを埋め込むことで、サイト訪問者がマルウェアに感染する事例が報告されています。

次のセクションでは、ApacheでReflected XSSを防ぐ具体的な方法について解説します。

ApacheでReflected XSSを防ぐ方法


Reflected XSSは、適切なサーバー設定や入力値の検証・サニタイズによって防ぐことが可能です。Apacheでは、セキュリティヘッダーの設定やサーバーレベルでのフィルタリングを行うことで、攻撃を軽減できます。ここでは、Apache環境でのReflected XSS対策方法を詳しく解説します。

1. Content Security Policy (CSP)の導入


CSPを導入することで、外部スクリプトの実行を制限し、XSS攻撃を防ぎます。Apacheでは.htaccessファイルを編集してCSPを設定できます。

.htaccessの設定例

<IfModule mod_headers.c>
  Header set Content-Security-Policy "default-src 'self'; script-src 'self'; object-src 'none';"
</IfModule>


この設定では、外部サイトからのスクリプト読み込みを禁止し、信頼できるソース（自サイト）からのみスクリプトを実行可能にします。

2. X-XSS-Protectionヘッダーの設定


X-XSS-Protectionは、ブラウザがXSS攻撃を検出した際にスクリプトの実行をブロックする機能です。

.htaccessの設定例

<IfModule mod_headers.c>
  Header set X-XSS-Protection "1; mode=block"
</IfModule>


これにより、XSSが検出されるとブラウザはスクリプトの実行を停止し、ページの読み込みをブロックします。

3. 入力値のサニタイズとエスケープ


PHPや他のサーバーサイド言語で、ユーザーからの入力値を直接HTMLに出力する前に、サニタイズやエスケープ処理を行います。

PHPでのサニタイズ例

$search = htmlspecialchars($_GET['q'], ENT_QUOTES, 'UTF-8');
echo "<p>「" . $search . "」の検索結果はありません。</p>";


htmlspecialchars関数を使用することで、<script>タグなどのHTMLタグをエスケープし、スクリプトの実行を防ぎます。

4. ModSecurityの導入


ModSecurityはApacheで動作するWebアプリケーションファイアウォール(WAF)であり、XSS攻撃を含むさまざまな攻撃を防ぐことができます。

ModSecurityのインストールと有効化

sudo apt install libapache2-mod-security2
sudo a2enmod security2
sudo systemctl restart apache2


これにより、攻撃パターンに一致するリクエストを検出し、自動的にブロックします。

5. URLエンコードの徹底


フォーム送信やURLクエリパラメータにおいて、ユーザー入力をURLエンコードしてサーバーに送信します。これにより、不正なスクリプトがHTMLタグとして解釈されるのを防ぎます。

次のセクションでは、ApacheでStored XSSを防ぐ方法について解説します。

ApacheでStored XSSを防ぐ方法


Stored XSSは、サーバーに保存された悪意のあるスクリプトが繰り返し実行される攻撃であるため、サーバーサイドでの適切なデータ処理とセキュリティ設定が重要です。Apache環境では、入力データの検証、エスケープ処理、サーバー側のセキュリティ強化を通じてStored XSSのリスクを軽減できます。

1. 入力データのサニタイズとバリデーション


フォームやコメント欄などのユーザー入力を受け付ける部分では、データのサニタイズとバリデーションを徹底する必要があります。特にデータベースに保存される前に、HTMLタグやJavaScriptを無害化することが重要です。

PHPでのサニタイズ例

$comment = htmlspecialchars($_POST['comment'], ENT_QUOTES, 'UTF-8');
$db->query("INSERT INTO comments (content) VALUES ('$comment')");


このコードでは、htmlspecialchars関数を使用してHTMLタグをエスケープし、<script>タグなどの不正なスクリプトが実行されないようにします。

2. 出力時のエスケープ処理


サーバーに保存されたデータを出力する際にも、必ずエスケープ処理を行い、スクリプトがHTMLとして解釈されないようにします。

出力時のエスケープ例

echo "<p>" . htmlspecialchars($comment, ENT_QUOTES, 'UTF-8') . "</p>";


これにより、保存されたスクリプトがHTMLとして解釈されず、単なるテキストとして表示されます。

3. HTTPヘッダーでのXSS対策


Apacheの設定で、X-XSS-ProtectionやContent Security Policy (CSP)を有効にすることで、スクリプトの実行を防止します。

.htaccessの設定例

<IfModule mod_headers.c>
  Header set Content-Security-Policy "default-src 'self'; script-src 'self';"
  Header set X-XSS-Protection "1; mode=block"
</IfModule>


この設定では、自サイト以外のスクリプトの読み込みを禁止し、XSS攻撃が検出された場合には即座にブロックされます。

4. データベースのサニタイズ


データベースへの挿入時には、プレースホルダを使用してSQLインジェクションやXSSのリスクを低減します。

プレースホルダを使った安全なデータ挿入例

$stmt = $db->prepare("INSERT INTO comments (content) VALUES (:content)");
$stmt->bindParam(':content', $comment);
$stmt->execute();


プレースホルダを使用することで、スクリプトが直接SQLクエリに挿入されるリスクが軽減されます。

5. ModSecurityでの防御


ApacheのModSecurityモジュールを活用することで、Stored XSS攻撃の兆候を検出し、自動的にブロックできます。

ModSecurity設定例

sudo nano /etc/modsecurity/modsecurity.conf
SecRule ARGS "(\<script\>)" "deny,status:403,id:101"


このルールは、リクエストパラメータに<script>タグが含まれている場合に403エラーを返し、攻撃を防止します。

6. 入力フィルターの導入


特定のHTMLタグやJavaScriptの入力を禁止する入力フィルターを導入します。

function sanitize_input($input) {
  return strip_tags($input, '<p><a><strong>');
}
$comment = sanitize_input($_POST['comment']);


この方法では、許可したHTMLタグ以外の要素をすべて排除し、安全性を確保します。

次のセクションでは、XSS対策のベストプラクティスと自動ツールの活用について詳しく解説します。

XSS対策のベストプラクティスと自動ツールの活用


Reflected XSSやStored XSSを防ぐためには、個々の対策だけでなく、複数のセキュリティ層を組み合わせた包括的な防御が重要です。ここでは、XSS攻撃を防ぐためのベストプラクティスと、Apache環境で活用できる自動ツールを紹介します。

1. ベストプラクティス

1.1 入力データのサニタイズとバリデーション

  • サーバーサイドでの入力検証を必ず行い、不正なHTMLタグやJavaScriptを除外します。
  • クライアントサイドでもバリデーションを行い、不正なデータが送信される前にブロックします。ただし、クライアントサイドのみのバリデーションは容易に回避されるため、サーバー側での処理が必須です。

1.2 エスケープ処理の徹底

  • 出力時にhtmlspecialcharsやhtmlentitiesなどを使用し、HTMLエンティティに変換します。
  • JavaScriptに出力する場合は、json_encodeやJavaScriptエスケープ関数を使用します。

1.3 最小限の権限での操作

  • ユーザー入力が直接データベースに保存される場合は、最小限の権限で処理を行い、影響範囲を限定します。

1.4 セキュリティヘッダーの設定

  • Content Security Policy (CSP)
  • X-XSS-Protection
  • X-Content-Type-Options

これらのヘッダーを適切に設定し、スクリプトの読み込みや不正なコンテンツタイプの実行を防止します。

2. 自動ツールの活用

2.1 ModSecurityの活用


ApacheのWAF（Webアプリケーションファイアウォール）であるModSecurityは、XSS攻撃を自動的に検出・ブロックします。

sudo apt install libapache2-mod-security2
sudo a2enmod security2
sudo systemctl restart apache2


ルールセットの導入

sudo wget https://github.com/coreruleset/coreruleset/archive/v3.3.4.tar.gz
sudo tar -xvzf v3.3.4.tar.gz
sudo cp coreruleset-3.3.4/crs-setup.conf.example /etc/modsecurity/crs-setup.conf


これにより、既存の攻撃パターンに対して強力な防御が可能になります。

2.2 OWASP ZAPによる脆弱性診断


OWASP ZAP（Zed Attack Proxy）は、XSSを含むWebアプリケーションの脆弱性を診断できるオープンソースツールです。

sudo apt install zaproxy
zap.sh


サイトをスキャンし、XSSの脆弱性を自動で検出・報告します。

2.3 Niktoでのスキャン


Niktoは、Apacheサーバーを対象にした脆弱性スキャナで、XSSやSQLインジェクションなどのリスクを診断します。

sudo apt install nikto
nikto -h http://example.com

3. 定期的なセキュリティ監査の実施

  • 定期的にWebアプリケーションのコードをレビューし、脆弱性がないかをチェックします。
  • 自動ツールを活用した脆弱性スキャンを月1回以上実施し、リスクの早期発見と対処を行います。

次のセクションでは、本記事のまとめとして、XSS対策の要点を振り返ります。

まとめ


本記事では、Apache環境におけるReflected XSSとStored XSSの違い、攻撃の具体例、そしてそれぞれの対策方法について解説しました。XSS攻撃はユーザーの個人情報の漏洩やサイトの改ざんなど深刻な被害を引き起こしますが、適切なセキュリティ対策を講じることで未然に防ぐことが可能です。

特に、入力データのサニタイズとバリデーション、エスケープ処理、セキュリティヘッダーの設定はXSS対策の基本であり、ModSecurityやOWASP ZAPなどの自動ツールを活用することで、より効果的に脆弱性を防ぐことができます。

Webアプリケーションのセキュリティは一度対策して終わりではなく、継続的な監査とアップデートが必要です。今回紹介した手法を取り入れ、安全なWeb環境を維持するための取り組みを続けてください。

Apache
セキュリティ Apache XSS Web攻撃対策

コメント

コメントする

目次