79. ■コジロウ、始動！
「風呂空いたぞ、美月」
石鹸の良い香りを漂わせながら、部屋の主である陸が風呂場より出てくる。
その美月はというと、相変わらずネットの会議に夢中だ。
「まったく……親戚の小学生みたいだぞ。
ひたすらネットの画面にくぎ付けか？」
「……うるさい。もう少し、もう少しなんだ……。
まだ寝ないだろ？ もうちょっと待ってくれ」
「……別にいいけど。無茶な真似はしないでくれよ」
そう言いながら陸は、恋人の額に軽くキスをする。
美月は……今そんな気分じゃない、とばかりに軽く頭を遠ざけるが、指を口に当てて軽い投げキスを恋人に返す…………が、視線は変わらずディスプレイに向いていた。
2X26/02/10 21:19 ■コジロウ
文字列を無害化できねえなら、XSSでセッションIDを盗めるだろ
楽勝じゃね？
2X26/02/10 21:21 ■酒井カレン
待て待て！ 無害化できないんじゃなくて、無害化が不完全だ
レベルＣは一応平均点クリアのセキュリティだぞ
XSSでやるにしても、Script直貼り程度の仕掛けじゃ通じないだろ
2X26/02/10 21:25 ペケゾー
あのお……
XSSとか、セッションIDとか、なんの話でしょうか……
素人のペケゾーことカケルが、たまらず質問をする。
コジロウが得意げに説明を開始するが、専門用語出しまくりの説明にカケルがついて行けず、代わりに美月が説明をする。
［セッションIDってのは、サイトで誰がアクセスしているかを識別するための識別番号だ
ログインした時に与えられる、鍵というか証明書みたいなもんだな］
［フードコートでメニュー注文した時に渡される、番号付きのブザーみたいなやつ？］
……しばしの時間があってからの美月の返信
［例えがめちゃくちゃだが、間違ってはいないなｗ
そのブザーを奪っちゃえば、本人のふりしてメニューを横取りできるからな
セッションIDを盗むってことは、つまりはそういうことだ
今回の場合でいえば、メニューイコール、オンラインストレージ内にある、可憐の動画ファイルだ］
［で、そいつを盗む手段がXSSで、クロスサイトスクリプティングの略だ
え～～と、これを説明するとだな……
たとえば検索サイトで検索窓に、犬の画像 って入力すると犬の画像が検索されて表示されるだろう？］
［うん］
［その検索結果が出てる状態のURLをお前に送って、お前がそのリンクを踏んだらどうなる？］
［えっと、同じく犬の画像が検索されて、画面に表示される］
［正解 XSSの仕組みってのは、簡単に言うとその応用だ
相手にリンクを踏ませて、検索窓に入力したプログラムを相手側に起こさせる
その検索窓に犬の画像検索ではなく、セッションIDを盗み出すプログラムコードを紛れ込ませるんだ
するとお前のブラウザは、それを犬の画像検索同様、サイトの正規の処理だと勘違いして、セッションIDを盗み出すコードを実行してしまうってわけ］
［つまり、相手にリンクを踏ませることで、検索窓に入れた命令を実行できちゃうってこと？］
［簡単に言うとそうだな］
［そ、それができちゃうなら、なんだってできちゃうじゃん！］
［なんでもってわけじゃないが、サイト側のセキュリティがなにもなかったら、やりたい放題ではあるな］
説明したくてウズウズしていたコジロウが、会話に割って入る。
［さすがに大手サイトとなるとセキュリティは万全だけどよ、今回のTEPAドライブみたいにセキュリティが中途半端なサイトやセキュリティ0で、それこそペケゾーちゃんが言う、なんでもできちゃうアホサイトが、世界には大量にあるわけよ］
［中途半端なサイトというが、セキュリティレベルＣクラスは■酒井カレンさんが言ったように、平均点クリアだよ
簡単なコードの偽装じゃ弾かれる］
［レッドさん、年上のあんたに言うのもなんだが、Ｃクラスなんて、無防備だよ
おれ様に言わせりゃＣもＤも、それより下も同じだ、ざこレベルだよ！］
［先輩！
かっこいいっすけど、結局のところ、動画ファイルは持ってこれるんでしょうか！？］
［ペケゾーちゃあ～～ん、言ったろう？
おれ達は荒らしも黙る、スーパーハカー集団、■Black Maskだぜ！
とりあえず、加藤のメアドかゼータのアドレス、くれねえかな？ あと、奴の略歴も
そしたら、おれっちもMagicを見せてやるよ！ ハッキングっていうMagicをな！！］
岐阜県飛騨高山の地で、赤毛の天才は不敵な笑みを浮かべながら、上げていた大きなゴーグルを再び装着する。
時刻は夜の10時前……
「さあ～～て……戦闘開始だ！！」
