クロスサイトスクリプティングの一般的な悪用方法

ブラウザの権限で任意コードが実行できる、ということは知っていましたが、 徳丸本を読むまでいまいちどんな攻撃につながるのかピンときていませんでした。

開発者コンソールに打ち込んで試してみてください。

悪意のあるサイトに誘導

location.href = "https://qiita.com/gooddoog"

このソースでは別に危険なことは起きずに、私のQiitaのページに飛びますのでご安心を。。。

クッキーの読み出し

document.cookie

セッションIDを読み出してメールで送るコードを書かれれば、セッションIDが漏れる。 そこからセッションハイジャックやCSRF攻撃につながるようです。 クッキーに関してはHttponlyというオプションをつけることでスクリプトからの読み出しを禁止できます

参考

体系的に学ぶ 安全なWebアプリケーションの作り方［固定版］　脆弱性が生まれる原理と対策の実践