Web
このタグの記事 7 件
CORSとは — 仕組みと、設定ミス（CORS misconfiguration）で起きること
CORSは『別オリジンのJSが自分のAPI応答を読めるか』をブラウザが制御する仕組み。設定ミス＝任意Originの反射や Access-Control-Allow-Origin:* と認証情報の併用で、第三者サイトからログイン済みデータを読まれる。本命の防御は許可リスト方式・Originを鵜呑みに反射しない・既定で拒否。
セッション固定（Session Fixation）とは — 攻撃者が用意したIDでログインさせる穴
セッション固定は、攻撃者が用意した既知のセッションIDを被害者に使わせ、ログイン後にそのIDでなりすます攻撃。本命の防御は『ログイン（と権限変化）のたびにセッションIDを再生成する』こと。URLからのID受け取りを禁じ、Cookieは HttpOnly/Secure/SameSite で固める。
クリックジャッキングとは — 透明な罠で“見えないボタン”を押させる攻撃
クリックジャッキングは、自サイトを透明な iframe で別サイトに重ね、利用者に意図しない操作（送金・設定変更・同意）をさせる攻撃。本命の防御は『自サイトを他サイトの枠に埋め込ませない』＝CSP frame-ancestors と X-Frame-Options。
オープンリダイレクトとは — 信頼されたURLを踏み台に、別サイトへ飛ばされる穴
オープンリダイレクトは、?next= 等の遷移先パラメータに外部URLを入れられ、信頼ドメインを踏み台に別サイトへ飛ばせる脆弱性。フィッシングの土台になる。本命の防御は『遷移先に外部URLを受け取らない／許可リストか相対パスだけにする』。
パストラバーサルとは — ../ でサーバーの“出してはいけないファイル”を読まれる穴
パストラバーサルは、ファイル名の入力に ../ を混ぜて基準ディレクトリの外へ抜け出し、.env・設定・鍵などを読み書きさせる脆弱性。本命の防御は『利用者入力を生のファイルパスに使わない』『正規化して基準ディレクトリ内に閉じ込める』。
XSS（クロスサイトスクリプティング）とは — 他人のブラウザで勝手にコードが動く穴
XSSは、攻撃者の用意した文字列が“スクリプトとして”別の利用者のブラウザで実行される脆弱性。セッション窃取・なりすましに直結。本命の防御は『出力時のエスケープ』。フレームワークの自動エスケープを外さないことが最大の対策。
CSRF（クロスサイトリクエストフォージェリ）とは — ログイン中の利用者に“勝手に操作”させる攻撃
CSRFは、ログイン中の利用者のブラウザに“本人が意図しない操作”を勝手に送らせる攻撃。ブラウザがCookieを自動送信する性質を悪用する。本命の防御はCSRFトークン＋SameSite Cookie。状態変更にGETを使わないことも重要。