クロスサイトスクリプティング（XSS）とは？

クロスサイトスクリプティング（XSS）とは、攻撃者が仕込んだスクリプトを、脆弱なサイトが利用者のブラウザ上で実行させてしまう攻撃。反射型・格納型・DOM型に分かれる。応用情報では被害者のブラウザで動く点、つまりCookie窃取や画面改ざんが「正規サイトの権限で」起きることの理解が問われる。

応用情報技術者試験の過去問では6回出題されています（2016年度〜2024年度）。

くろすさいとすくりぷてぃんぐ

応用情報技術者試験の頻出用語／テクノロジ系／別名：クロスサイトスクリプティング、XSS

クロスサイトスクリプティング（XSS）の意味

攻撃者が仕込んだスクリプトを、脆弱なサイトが利用者のブラウザ上で実行させてしまう攻撃。反射型・格納型・DOM型に分かれる。応用情報では被害者のブラウザで動く点、つまりCookie窃取や画面改ざんが「正規サイトの権限で」起きることの理解が問われる。

クロスサイトスクリプティング（XSS）の具体例

掲示板の投稿本文をエスケープせず表示すると、格納型XSSにより閲覧者全員のセッションIDが攻撃者サーバへ送られる。対策はHTML出力時のエスケープ、CookieへのHttpOnly付与、CSP（Content Security Policy）によるスクリプト実行元の制限を組み合わせる。

クロスサイトスクリプティング（XSS）は試験でどう引っ掛けられる？

CSRFとの混同が最頻出。XSSは「被害者のブラウザで任意スクリプトを動かす」、CSRFは「被害者の正規セッションで意図しない要求を送らせる」。HttpOnlyはCookie窃取を防ぐがXSSそのものは防げない。

クロスサイトスクリプティング（XSS）と関連する用語

クロスサイトスクリプティング（XSS）が出た過去問

WAFの説明として，適切なものはどれか。
正解：特徴的なパターンが含まれるかなどWebアプリケーションへの通信内容を検査して，不正な操作を遮断する。
要点：WAFは通信内容を検査してWebアプリへの攻撃を遮断する
WAF（Web Application Firewall）は、Webアプリケーションへのやり取りの中身を検査し、攻撃に特徴的なパターンを含む通信を遮断する仕組みである。SQLインジェクションやクロスサイトスクリプティングなど、アプリケーション層の攻撃への対策として使われる。
出典：平成28年度春期応用情報技術者試験午前問40（IPA）
WAFの説明はどれか。
正解：Webアプリケーションへの攻撃を監視し阻止する。
要点：WAFはWebアプリ層への攻撃を検知し遮断する
WAFはWebアプリケーションの前段に置き、HTTPの通信内容を検査してSQLインジェクションやクロスサイトスクリプティングなど、アプリケーション層を狙う攻撃を検知・遮断する仕組みである。ネットワーク層で通信を制御するファイアウォールでは防げない攻撃を対象とする。
出典：平成29年度秋期応用情報技術者試験午前問45（IPA）
クロスサイトスクリプティング対策に該当するものはどれか。
正解：Webページに入力されたデータの出力データが，HTMLタグとして解釈されないように処理する。
要点：XSS対策の要は出力時のエスケープでタグとして解釈させないこと。
クロスサイトスクリプティングは、利用者が入力した文字列がそのままWebページに出力され、スクリプトとして実行されてしまうことで成立する。したがって対策の中心は出力時のエスケープ処理で、山括弧や引用符などをHTMLタグとして解釈されない文字表現に置き換えることである。入力値の検証も併用するが、根本は出力側での無害化にある。
出典：平成30年度秋期応用情報技術者試験午前問41（IPA）
クロスサイトスクリプティングの手口はどれか。
正解：Webアプリケーションのフォームの入力フィールドに、悪意のあるJavaScriptコードを含んだデータを入力する。
要点：XSSは入力されたスクリプトを他利用者のブラウザで実行させる
クロスサイトスクリプティングは、利用者の入力をそのままWebページに出力してしまう脆弱性を突き、悪意のあるスクリプトを他の利用者のブラウザ上で実行させる攻撃である。入力フィールドにスクリプトを含むデータを送り込む手口が典型で、対策は出力時のエスケープ処理である。
出典：平成30年度春期応用情報技術者試験午前問37（IPA）
WAFの説明はどれか。
正解：Webアプリケーションへの攻撃を検知し、阻止する。
要点：WAFはHTTPを解析してWebアプリへの攻撃を検知・遮断する
WAF（Web Application Firewall）はHTTPの通信内容を解析し、SQLインジェクションやクロスサイトスクリプティングなどWebアプリケーションの脆弱性を狙う攻撃パターンを検知して遮断する。ネットワーク層で制御するファイアウォールでは防げない、アプリケーション層の攻撃に対応する点が特徴である。
出典：令和1年度春期応用情報技術者試験午前問45（IPA）

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。