「XSS脆弱性は危険，Cookieを盗まれるだけでは済まない」専門家が注意喚起

「クロスサイト・スクリプティング（XSS）脆弱性を悪用された場合の被害例としては『Cookieを盗まれる』ことがよく挙げられる。しかし，実際にはもっと深刻な被害を受ける恐れがある。管理者や開発者はその危険性を十分に認識して，対策を施す必要がある」――。京セラコミュニケーションシステムのセキュリティ事業部 副事業部長である徳丸浩氏は11月10日，ITproの取材に対して，XSS脆弱性の脅威を強調した。 さまざまなWebサイト（Webアプリケーション）において，XSS脆弱性が相次いで見つかっている。その背景には，開発者などの認識不足があると徳丸氏は指摘する。「適切に対策を施すには，XSS脆弱性のリスクを把握する必要がある」（徳丸氏）。しかしながら，実際には，XSS脆弱性のリスクを過小評価しているケースが少なくないという。 例えば，「（自分たちが運営している）携帯電話向けサイトでは（携帯電話上で

[webmarksjp]

*security

[kimimasa]

xss の脆弱性について

[shayash]

公開サーバーなら、最低限の認識は持つべき

[mi1kman]

当然だと思っていたが，なるほど，世間ではそういう認識なんだなということが分かって良いエントリー．

[ockeghem]

ockeghemが取材を受けた結果が記事になりました。

[nemoba]

XSSでリンク埋め込んでフィッシングサイトに誘導か

[miya2000]

↓『JavaScritpが動けばなんだってできる。』例ではJavaScript使ってないですよ。短いから最後まで(俺もweponさんのコメントで読んだ)。『信用のないサイトでは特に』社会的信用があるサイトでXSSがあるとより問題だという話。

[wepon]

JavaScriptをOFFにしてても危険ってことだね

[ken_wood]

>XSS脆弱性が存在するサイト上に，偽のログイン画面や個人情報入力画面を作られることのほうが深刻だ」。フィッシング詐欺への悪用である。：これは注意。信用のないサイトでは特に。

[cubed-l]

JavaScriptが動くんだから何でもやりたい放題だよ

[hiro_y]

XSS、フィッシング詐欺への応用。

[tsupo]

XSS脆弱性があるサイトは、フィッシング詐欺に悪用されてしまう可能性があるよ、という話。

[koyhoge]

JavaScritpが動けばなんだってできる。もはや当たり前ですね。