遅延 / 自動実行 payload
タイマーや URL パラメータで top-redirect、postMessage、form submit などを後から自動実行します。
sandbox ポリシー別の挙動
| ポリシー | 想定結果 |
|---|---|
| sandbox 未指定 | 動作 |
sandbox="allow-scripts" | 部分動作 |
sandbox="" (最も厳格) | ブロック |
Embed スニペット
このスニペットは埋め込み専用ページを使用します。自サービスに貼り付けてレンダリング/ブロックの挙動を確認してください。
<iframe src="https://xss-playground.com/embed/delayed-attack?lang=ja" title="XSS Playground - 遅延 / 自動実行 payload" width="600" height="420" loading="lazy" referrerpolicy="strict-origin-when-cross-origin"></iframe>
実行
アクション
遅延(秒)
// ログなし
埋め込みページの自動実行
実際の埋め込みテストでは、ユーザー操作なしで動くよう URL パラメータを付けられます。例:
<iframe src="https://xss-playground.com/embed/delayed-attack?auto=top-redirect&delay=5" width="600" height="420"></iframe>
解説
- Stored XSS や埋め込み攻撃は、ページ読み込み直後ではなくユーザーが信頼した後に動くとより危険です。
- 遅延実行はレビューで見落としやすいため、初回描画だけでなく数秒後、操作後、再訪問後も確認します。
- 対策はレンダリング時の payload 除去、または CSP / sandbox / message 検証で実行面を閉じることで確認できます。