Blind XSSは、攻撃者自身には実行画面が見えず、後から管理者やサポート担当者が入力を閲覧したときに実行されるXSSです。

代表例は次のとおりです。

• 問い合わせ管理画面

• SOCダッシュボード

• ログビューアー

• チケット管理画面

• メール管理画面

• 不正アクセス調査画面

• User-Agent一覧

Blind XSSの多くはStored XSSです。

攻撃者が細工したUser-Agentを送信
        ↓
アクセスログへ保存
        ↓
SOC担当者がログ画面を開く
        ↓
管理者権限の画面で実行

セキュリティ製品が検知したXSS文字列を、管理画面で未エスケープ表示するケースには特に注意が必要です。

Second-order XSS

Second-order XSSは、入力地点と実行地点が離れているXSSです。

プロフィールへ登録
        ↓
登録画面では問題なし
        ↓
別の管理画面で再利用
        ↓
別コンテキストで実行

Stored XSSと近い意味で使われることがあります。

Second-orderという言葉は、特に次の点を強調します。

• 入力時点では発火しない

• 別の処理を経由する

• 別画面や別システムで発火する

Delayed XSS

Delayed XSSは、バッチ処理、承認処理、キャッシュ更新、帳票生成などを経由して、時間差で発火するXSSです。