反射型xss - Cyber SEC TSM | サイバーセキュリティTSM

反射型XSS

クロスサイトスクリプティング（XSS）のうち、サーバのアプリケーションが、HTTP の要求（リクエスト）に含まれるデータを、無害化しないまま応答（レスポンス）のページにそのまま返してしまう型です（英語では reflected XSS。非永続型 XSS、Type 1 XSS とも呼ぶ）。CISSP ではCISSPドメイン8 ソフトウェア開発のセキュリティで扱います。ほかの型に永続型XSSとDOMベースXSSがあります。

定義

MITRE の CWE（ソフトウェアの弱点の分類）の CWE-79（XSS）は、反射型 XSS を「サーバのアプリケーションが、HTTP の要求から直接データを読み、それを HTTP の応答に反映させる」場合の型と説明しています。

ほかの型との違い

型	危険なデータの置き場所
反射型（このページ）	要求（URL の値やフォームの値）に含まれ、保存はされない
永続型XSS	サーバ側に保存され、後でほかの利用者のページに含まれる
DOMベースXSS	ブラウザの側のスクリプトが、ページを書き換えるときに起きる

反射型は保存されないので、利用者が細工された要求を送るように仕向けられる（細工されたリンクを開くなど）ことで起きます。このため、フィッシングと組み合わせて悪用されることがあります（筆者の整理）。

守る手段

根本は、ほかの型と同じく、出力するときの無害化（エスケープ）です。IPA は根本的解決として、Web ページに出力する全ての要素にエスケープ処理を施すことを挙げています。詳しくはクロスサイトスクリプティングの「守る手段」を見てください。

関連するページ

クロスサイトスクリプティング・永続型XSS・DOMベースXSS・フィッシング・CISSPドメイン8 ソフトウェア開発のセキュリティ

出典

• MITRE CWE-79 Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')
• IPA「安全なウェブサイトの作り方」1.5 クロスサイト・スクリプティング（改訂第7版、2015年3月公開、2021年3月第4刷）

確認日：2026年10月18日