連鎖攻撃 (フィッシング + フルスクリーン + redirect)
偽フルスクリーン UI、認証情報の取得、top redirect をつなげて不審さを下げる流れを再現します。
sandbox ポリシー別の挙動
| ポリシー | 想定結果 |
|---|---|
| sandbox 未指定 | 動作 |
sandbox="allow-scripts" | 部分動作 |
sandbox="" (最も厳格) | ブロック |
Embed スニペット
このスニペットは埋め込み専用ページを使用します。自サービスに貼り付けてレンダリング/ブロックの挙動を確認してください。
<iframe src="https://xss-playground.com/embed/chained-attack?lang=ja" title="XSS Playground - 連鎖攻撃 (フィッシング + フルスクリーン + redirect)" width="600" height="420" loading="lazy" referrerpolicy="strict-origin-when-cross-origin"></iframe>
実行
// ログなし
解説
- iframe 読み込み直後にフルスクリーン風のオーバーレイでサービス UI を偽装します。ユーザーは信頼しているサイト内にいると感じやすくなります。
- 認証情報を入力すると値は iframe 自身の origin に流れ、実攻撃では攻撃者サーバーに送信されます。
- 取得直後に top redirect で本物のページへ戻すと、ユーザーは単に一度ログインしただけだと受け取りがちです。
- 各ステップは Same-Origin Policy を破らずに動作し得るブラウザ API だけで構成されています。
- 任意ホスト iframe を host allowlist や厳格な sandbox で止めることが最も効果的です。