クロスサイトスクリプティング（XSS）とは？

クロスサイトスクリプティング（XSS）とは、脆弱なWebサイトの入力欄などを通じて悪意あるスクリプト（プログラム）を埋め込み、他の利用者がそのページを閲覧したときにブラウザ上でスクリプトを実行させる攻撃手法。

ITパスポートの過去問では9回出題されています（2010年度〜2026年度）。

くろすさいとすくりぷてぃんぐ

ITパスポートの頻出用語／テクノロジ系／別名：クロスサイトスクリプティング、XSS

クロスサイトスクリプティング（XSS）の意味

脆弱なWebサイトの入力欄などを通じて悪意あるスクリプト（プログラム）を埋め込み、他の利用者がそのページを閲覧したときにブラウザ上でスクリプトを実行させる攻撃手法。

クロスサイトスクリプティング（XSS）の具体例

掲示板の投稿欄に仕込まれた不正なスクリプトが、他の閲覧者のブラウザで実行され、閲覧者のクッキー情報（ログイン情報）が盗まれる、といった被害が起こりうる。

クロスサイトスクリプティング（XSS）は試験でどう引っ掛けられる？

悪意あるスクリプトが動くのは、サイトのサーバ上ではなく閲覧した利用者のブラウザ上。名前の似たCSRFは、ログイン済みの利用者に意図しない操作をさせる別の攻撃なので混同しない。狙われるのは入力値検証の甘さ。

クロスサイトスクリプティング（XSS）と関連する用語

SQLインジェクション

クロスサイトスクリプティング（XSS）が出た過去問

クッキー（cookie）に関する記述a〜cのうち、適切なものだけをすべて挙げたものはどれか。a Webサイトを前回閲覧した際に入力したIDやパスワードなどは、別…
正解：b, c
要点：クッキーは端末に保存され、共用PCでは消去すべき
クッキーは閲覧に使ったPCのブラウザに保存されるため、別のPCに引き継がれることはない（aは誤り）。共用PCではクッキーが残ると次の利用者にセッションを悪用されるおそれがあるため消去すべきであり（b）、クロスサイトスクリプティングによってクッキーが盗まれる攻撃も知られている（c）。したがってbとcが適切である。
出典：平成22年度秋期 ITパスポート試験問59（IPA）
クロスサイトスクリプティングの特徴に関する記述として、適切なものはどれか。
正解：Webサイトに入力されたデータに含まれる悪意あるスクリプトを、そのままWebブラウザに送ってしまうという脆弱性を利用する。
要点：XSSは入力をそのまま出力する脆弱性を突く。対策は出力時のエスケープ
クロスサイトスクリプティングは、利用者の入力をそのままWebページに埋め込んで出力してしまう脆弱性を突く攻撃である。攻撃者が仕込んだスクリプトが閲覧者のブラウザで実行され、クッキーの窃取や偽の入力画面の表示などの被害を招く。対策は出力時のエスケープ処理である。
出典：平成24年度秋期 ITパスポート試験問60（IPA）
クロスサイトスクリプティングとは、Webサイトの脆弱性を利用した攻撃である。クロスサイトスクリプティングに関する記述として、適切なものはどれか。
正解：Webページに、ユーザの入力データをそのまま表示するフォーム又は処理があるとき、第三者が悪意あるスクリプトを埋め込むことでクッキーなどのデータを盗み出す。
要点：入力をそのまま出力する隙にスクリプトを埋め込むのがXSS
クロスサイトスクリプティングは、入力された文字列をそのまま画面に出力してしまうWebページの脆弱性を突き、攻撃者が用意したスクリプトを閲覧者のブラウザ上で実行させる攻撃である。これによりクッキーに保存されたセッション情報などが盗まれる。対策は出力時のエスケープ処理である。
出典：平成24年度春期 ITパスポート試験問77（IPA）
クロスサイトスクリプティングに関する記述として、適切なものはどれか。
正解：Webサイトの運営者が意図しないスクリプトを含むデータであっても、利用者のブラウザに送ってしまう脆弱性を利用する。
要点：XSSは入力の未検査を突き他人のブラウザでスクリプトを実行させる
クロスサイトスクリプティングは、利用者の入力をそのままWebページに表示してしまうサイトの弱点を突き、悪意あるスクリプトを別の利用者のブラウザ上で実行させる攻撃である。これによりCookieの盗み出しや偽の入力画面の表示などが起こる。OSコマンドの注入やパスワードの使い回しを狙う攻撃、正体を偽るソフトとは仕組みが異なる。
出典：平成27年度春期 ITパスポート試験問84（IPA）
SQLインジェクションの対策などで用いられ、処理の誤動作を招かないように、利用者がWebサイトに入力した内容に含まれる有害な文字列を無害な文字列に置き換えること…
正解：サニタイジング
要点：サニタイジングは特殊文字を無害化し不正な解釈を防ぐ
サニタイジングは、利用者が入力した文字列のうち、プログラムやデータベースに特別な意味を持つ記号を無害な表現へ置き換える処理である。これにより入力がSQL文やHTMLの一部として解釈されるのを防ぎ、SQLインジェクションやクロスサイトスクリプティングを防げる。ストリーミングは配信方式、テザリングは端末経由の通信共有、リバースエンジニアリングは製品の解析技法である。
出典：平成28年度春期 ITパスポート試験問64（IPA）

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。