WordPressでも起きている！クロスサイトスクリプティングとは？

反射型

反射型XSSは、メールや悪意あるサイトへのリンクを配信・設置することでユーザーがクリックすることでリクエストが送信されることで起こる攻撃です。

クリックしたリクエストが悪意あるものなのにも関わらず、実行された値によってそのリクエストが正しいとブラウザが判断してしまいレスポンスを返してしまう場合があります。

メールやリンクとして表示していることによって、攻撃のハードルも低くユーザーも気づきにくいです。

蓄積型

蓄積型XSSは、攻撃者が用意したスクリプトやHTMLを攻撃対象のサーバーに格納することで起こる攻撃です。

格納してから、時間が経ってしまったとしてもデータベースやサーバー上に残っている限り永久的にXSSが発生する可能性を残していることになり、被害はとても大きなものとなってしまいます。

掲示板のような誰でも出入りできるようなサイトで記事を閲覧している場合に攻撃用のスクリプトが仕掛けられているかもしれません。
頻繁にその記事やサイトに訪れないような場合は、反射型のように誘導しなければなりませんが、今では記事の順位を検索することも可能なのでよく閲覧されている記事に仕掛けることも容易になってきています。

DOM型

DOM型XSSは、ブラウザ上で動作するJavaScriptに問題があり、攻撃者によって仕掛けられたURLを開いた場合にHTMLとして展開され、攻撃者が用意したスクリプトが実行され、意図しない結果が表示されてしまう攻撃です。

蓄積型や反射型とは違い、クライアント側であるブラウザ上で発生します。
クライアントで発生することから、サーバーでは検知することができず、ログも残ることがないため、把握に時間がかかってしまう場合があります。

WordPressがオープンソースであること

WordPressがOSSであるということです。
OSS（オープンソースソフトウェア）は、プログラムコードが全ての人に公開されており、誰もが開発に参加できるソフトウェアのことです。

多くの人が開発に参加することで、発展や拡張が早い一方で、ハッカーもソースコードを確認できるので、脆弱性があった場合は容易に攻撃することができます。

テーマやプラグインも脆弱性が確認されている

WordPress本体だけでなくテーマやプラグインにも脆弱性が確認されることもあるので、攻撃者に狙われる可能性が十分にあります。

特に、WordPress本体のアップデートは行なっていてもテーマやプラグインのアップデートは行なっていない方も多いのではないでしょうか。
WordPress本体は単体ですがテーマやプラグインは複数持っているがゆえに、アップデートが大変でサイトに影響が出てしまう可能性もあるために行えていない方もいらっしゃると思います。

しかし、アップデートを行わないでサイトを運営し続けてしまうと脆弱性が確認されているため、古くなったテーマやプラグインが標的にされしまいます。

アップデートが来た際には、その都度行うことで標的となるような状態を防ぐことができますので、最新にしておくことをおすすめします。

また、定期的にアップデートが行われるWordPress本体とは違い、開発者によってはテーマやプラグインの更新が全くない場合もありますので、本体同様に管理が非常に重要になってきます。

更新を行わず、また、更新されないプラグインを長期間利用していては、情報や構造も古くなってしまっています。
例えで言えば、年数の経ったマンションの修繕工事を行わず、劣化した部分から雨漏りや漏電など起きてしまっているような状態です。

そうした部分を攻撃者は探し脆弱性を突いてくるので、アップデートがあった際には必ず行い、更新が途絶えているテーマやプラグインは使わないようにすることで安全にサイトを運営することができます。

参考：JVN iPedia 脆弱性対策情報データベースで確認されているクロスサイトスクリプティング

セキュリティ対策していないサイトが多い

WordPressはHTMLやCSSなどの知識がなくても、Webサイトを作成できる非常に便利なツールです。
しかし、Web初心者の方が使うことが多いため、そもそもセキュリティ対策を行なっていないというサイトも多いです。

セキュリティ対策を行なっていないことにより、攻撃が行われていても気づくのに遅れてしまったり、攻撃できるような環境を攻撃者に与えてしまっているのです。

攻撃者に狙われる状態にしない為にも、XSS対策だけでなく、セキュリティ対策は非常に重要です。

Webサイトの改ざん

Webサイトの改ざんは記事の内容やソースコードを書き換えられる可能性があります。
表面的に見えている記事の内容や不明なサイトへのリンク・バナーが付いている場合は気づくことができるかもしれません。

しかし、内部のソースコードを書き換えられてしまい訪問者を追跡するようなことがある場合には大きな被害になってしまう可能性があります。

Cookieの盗難

Cookieにはログイン情報やアクセストラッキング情報が保存されているので盗難にあった場合、攻撃者がログイン状態を再現できてしまいます。

ログインされてしまうと攻撃者の好き放題できてしまいますし、それがECサイトであったとしたら、決済情報や会員情報まで盗まれてしまうような状態になってしまいかねません。

情報漏洩

会員サイトのような、個人で扱っているサイトではない場合はさらに注意が必要です。
多くの会員や詳細な個人情報を扱っているサイトであればあるほど、被害範囲は大きくなってしまいます。

情報が多く格納されたデータベースのデータが流出してしまったときには、サイト内の被害に止まらず場合によっては生活にまで影響がでる可能性があります。
ひどい場合には、損害賠償請求まで発生してしまうので注意が必要です。

偽サイトでのフィッシング詐欺

宅配メールやECサイトからのレコメンド通知のリンクからログインしてしまったがゆえに、ログイン情報やクレジット情報などが盗まれてしまいます。

昨今、アマゾンや楽天市場、Yahoo!オークションなどの便利なサービスを利用しメール配信や本家に似たようなサイトを構築し、ユーザーを落とし入れるようなこともあるので、見知らぬリンク・メールを開封する場合には一度確認してから行いましょう。

参考：佐川急便かたる偽SMS急増　偽サイトに誘導　iPhone→ID詐取 Android→偽アプリ配布

管理者側のXSS対策

• WordPress本体とテーマ・プラグインを常に最新にする
• エスケープ処理を行う
• 入力制限を行う

ユーザー側のXSS対策