PHP の XSS（クロスサイトスクリプティング）対策を完全解説！初心者向けガイド
新人
「XSS って何ですか？」
先輩
「XSS は『クロスサイトスクリプティング』の略で、悪意のあるスクリプトをウェブサイトに埋め込み、ユーザーの情報を盗んだり、意図しない動作をさせたりする攻撃のことだよ。」
新人
「そんなことができるんですか？ どういう仕組みなんでしょうか？」
先輩
「それじゃあ、XSS とは何か、どんな仕組みで攻撃されるのかを説明しよう！」
1. XSS とは？
XSS（クロスサイトスクリプティング）は、悪意のあるスクリプトがウェブサイトに埋め込まれることで、ユーザーの個人情報を盗んだり、ページの内容を書き換えたりする攻撃のことです。
例えば、攻撃者が以下のようなスクリプトをフォームに入力し、それが適切に処理されずに表示されると、意図しない JavaScript が実行される可能性があります。
<input type="text" name="name" value="<script>alert('あなたの情報は盗まれました！');</script>">
このコードがそのままブラウザで実行されると、アラートが表示されてしまいます。これが XSS 攻撃の基本的な仕組みです。
2. XSS 攻撃の仕組み
XSS 攻撃にはいくつかの種類がありますが、基本的な流れは次のようになります。
1. ユーザーが入力フォームにスクリプトを埋め込む
例えば、コメント欄やお問い合わせフォームに JavaScript を記述し、それが適切に処理されないと、スクリプトがページ上で実行されます。
2. サーバーがスクリプトをそのまま保存し、他のユーザーに配信
ユーザーが入力した内容をデータベースに保存し、それを適切に処理せずに表示すると、スクリプトが実行される可能性があります。
3. 他のユーザーのブラウザでスクリプトが実行される
例えば、以下のような掲示板のコードがあるとします。
<?php
$name = $_POST['name'];
echo "こんにちは、" . $name . "さん！";
?>
このコードには適切なエスケープ処理が行われていないため、ユーザーが入力したスクリプトがそのまま実行される可能性があります。
4. ユーザーの情報が盗まれる
攻撃者がスクリプトを使ってクッキー情報を盗んだり、偽のログインフォームを表示させたりすると、被害が発生します。
5. XSS の危険性
XSS は次のような被害を引き起こします。
- ユーザーの個人情報（クッキー、セッション情報）の盗難
- 偽のログイン画面を表示し、ID・パスワードを盗む
- ページの内容を改ざんし、悪意のある情報を表示する
このような攻撃を防ぐために、適切な XSS 対策を行う必要があります。
3. XSS の種類（反射型 XSS、格納型 XSS、DOM-based XSS）
XSS にはいくつかの種類があり、それぞれ攻撃の方法や影響が異なります。ここでは主に 3 つのタイプを解説します。
1. 反射型 XSS（Reflected XSS）
反射型 XSS は、ユーザーが入力したデータが即座にページ内で処理され、そのまま実行される攻撃のことです。URL に悪意のあるスクリプトを埋め込んで、ユーザーを誘導することが多いです。
例えば、以下のような PHP コードがあるとします。
<?php
if (isset($_GET['query'])) {
echo "検索結果: " . $_GET['query'];
}
?>
この状態で、以下の URL にアクセスすると、スクリプトが実行されてしまいます。
http://example.com/search.php?query=<script>alert('攻撃成功');</script>
2. 格納型 XSS（Stored XSS）
格納型 XSS は、ユーザーの入力データがデータベースなどに保存され、後で別のユーザーがページを閲覧したときにスクリプトが実行される攻撃です。
例えば、掲示板やコメント欄にスクリプトを埋め込むと、そのまま保存され、他のユーザーが閲覧したときにスクリプトが動作してしまいます。
<?php
// データベースからコメントを取得
$comment = $db->query("SELECT comment FROM comments WHERE id = 1")->fetchColumn();
echo "コメント: " . $comment;
?>
このようなコードがあると、攻撃者がコメント欄に以下のスクリプトを投稿すると、他のユーザーのブラウザで実行されてしまいます。
<script>alert('クッキーを盗みました！');</script>
3. DOM-based XSS
DOM-based XSS は、サーバー側ではなく、JavaScript の DOM 操作によって発生する攻撃です。
例えば、以下のような JavaScript コードがあるとします。
<script>
document.getElementById("message").innerHTML = location.hash.substring(1);
</script>
このページに対して、以下の URL にアクセスすると、スクリプトが実行されます。
http://example.com/#<script>alert('攻撃成功');</script>
4. PHP における XSS の具体的な攻撃例
PHP の XSS 攻撃は、主にユーザー入力を適切に処理しないことで発生します。ここでは、具体的な攻撃例を紹介します。
フォーム入力を利用した XSS
例えば、以下のようなフォームがあるとします。
<form action="process.php" method="post">
<input type="text" name="username">
<button type="submit">送信</button>
</form>
このフォームの入力を適切に処理せずに表示すると、スクリプトが実行される可能性があります。
<?php
if ($_SERVER["REQUEST_METHOD"] == "POST") {
echo "こんにちは、" . $_POST['username'] . "さん！";
}
?>
ここに以下のようなスクリプトを入力すると、攻撃が成功します。
<script>alert('攻撃成功');</script>
5. XSS を防ぐための基本的な対策方法（エスケープ処理、入力チェックなど）
XSS を防ぐためには、以下の基本的な対策を実施する必要があります。
1. エスケープ処理
出力時にエスケープ処理を行うことで、スクリプトがそのまま実行されるのを防ぎます。
<?php
if ($_SERVER["REQUEST_METHOD"] == "POST") {
$username = htmlspecialchars($_POST['username'], ENT_QUOTES, 'UTF-8');
echo "こんにちは、" . $username . "さん！";
}
?>
2. 入力チェック（バリデーション）
不要な文字列を除去し、意図しないデータが送信されないようにします。
<?php
if ($_SERVER["REQUEST_METHOD"] == "POST") {
$username = strip_tags($_POST['username']);
echo "こんにちは、" . htmlspecialchars($username, ENT_QUOTES, 'UTF-8') . "さん！";
}
?>
3. HTTP ヘッダーの設定
HTTP ヘッダーを適切に設定することで、XSS 攻撃のリスクを軽減できます。
<?php
header("Content-Security-Policy: default-src 'self'; script-src 'self'");
?>
4. データベースの出力時もエスケープ処理
データベースから取得したデータを出力する際にも、必ずエスケープ処理を行いましょう。
<?php
// データベースから取得
$comment = $db->query("SELECT comment FROM comments WHERE id = 1")->fetchColumn();
echo "コメント: " . htmlspecialchars($comment, ENT_QUOTES, 'UTF-8');
?>
このようにすることで、スクリプトが実行されるのを防ぎます。
6. XSS を防ぐためのより高度な対策方法（CSP の導入、出力のサニタイズなど）
XSS を防ぐためには、基本的なエスケープ処理や入力チェックだけではなく、より高度なセキュリティ対策も必要です。ここでは「コンテンツセキュリティポリシー（CSP）」と「出力のサニタイズ」について解説します。
1. コンテンツセキュリティポリシー（CSP）の導入
コンテンツセキュリティポリシー（CSP）は、ブラウザに対して「どの種類のコンテンツを許可するか」を制御する HTTP ヘッダーです。これにより、悪意のあるスクリプトの実行を防ぐことができます。
■ 基本的な CSP の設定方法
<?php
header("Content-Security-Policy: default-src 'self'; script-src 'self';");
?>
この設定では、外部の JavaScript の読み込みを禁止し、自サイト内のスクリプトのみを許可することで XSS 攻撃のリスクを軽減します。
2. 出力のサニタイズ（無害化）
入力データのエスケープだけでなく、出力時にも「不要なタグを削除する」処理を行うことで、より安全にデータを扱うことができます。
■ HTML タグを削除する方法
<?php
$comment = "<script>alert('XSS 攻撃！');</script>こんにちは！";
$safeComment = strip_tags($comment);
echo $safeComment;
?>
このコードでは、strip_tags を使って、HTML タグを削除することでスクリプトの実行を防いでいます。
7. PHP でのセキュアなテンプレートエンジンの活用（Twig など）
PHP では、セキュリティを強化するために「テンプレートエンジン」を活用する方法があります。代表的なテンプレートエンジンのひとつに「Twig」があります。
1. Twig の特徴
Twig は、PHP の出力をより安全に行うためのテンプレートエンジンで、自動的にエスケープ処理を行う機能を持っています。
2. Twig のインストール
まず、Composer を使って Twig をインストールします。
composer require twig/twig
3. Twig の基本的な使い方
以下のようにして、Twig を使ったテンプレートの表示を行います。
<?php
require_once 'vendor/autoload.php';
$loader = new \Twig\Loader\FilesystemLoader('templates');
$twig = new \Twig\Environment($loader);
echo $twig->render('index.html', ['name' => "<script>alert('XSS');</script>"]);
?>
この場合、Twig は自動的にエスケープ処理を行い、悪意のあるスクリプトの実行を防ぎます。
8. PHP の XSS 対策を学ぶためのおすすめの方法
最後に、XSS 対策を学ぶためのおすすめの方法を紹介します。
1. OWASP（Open Web Application Security Project）を活用する
OWASP は、Web セキュリティに関する情報を提供する非営利団体で、XSS を含むさまざまなセキュリティリスクについて詳しく解説しています。
2. PHP の公式ドキュメントを読む
PHP の公式ドキュメントには、htmlspecialchars や strip_tags などの関数の詳細な説明が記載されています。
3. セキュリティ専門のオンライン学習サイトを活用する
例えば、「TryHackMe」や「Hack The Box」などのサイトでは、XSS を実際に試しながら学ぶことができます。
これらの方法を活用して、XSS 対策のスキルを磨きましょう！
