はびこる「インジェクション系」のぜい弱性
　Webアプリケーションのぜい弱性を示す用語として，クロスサイト・スクリプティング，SQLインジェクションといった言葉の認知度はかなり高まった。しかし実際には，これらのぜい弱性を持った危険なWebサイトは依然として存在するのが実情である。そこで本稿では，正しい対策の方法を解説する。


対策遅らせるHTMLエンコーディングの「神話」
　クロスサイト・スクリプティング，SQLインジェクション，OSコマンド・インジェクション－－。Webアプリケーションに潜む様々なぜい弱性が指摘され，活発に議論されるようになってきた。しかしWebサイトの実態を見ると，必ずしも対策は進んでいない。多くの場合，原因は「正しい対処方法を知らない」こと。そこで本編では，Webアプリケーションの代表的なぜい弱性の共通原理と対策について解説する。今回はクロスサイト・スクリプティングのぜい弱性を突く攻撃手法について見てみよう。


まだまだあるクロスサイト・スクリプティング攻撃法
　前回はクロスサイト・スクリプティングのぜい弱性を突く攻撃の対策としてのHTMLエンコードの有効性を述べた。ただ，HTMLエンコードだけではクロスサイト・スクリプティング攻撃を完全に防御することはできない。そこで今回は，HTMLエンコードで対処できないタイプのクロスサイト・スクリプティング攻撃の手口と，その対策について解説する。


インジェクション系攻撃への防御の鉄則
　前回までは，主にクロスサイト・スクリプティングのぜい弱性とその対策について解説してきた。最終回となる今回は，クロスサイト・スクリプティング以外のぜい弱性の原理と対策について解説する。具体的には，SQLインジェクション，OSコマンド・インジェクション，HTTPヘッダー・インジェクション，そしてメールの第三者中継である。