クロスサイトスクリプティング（XSS）とは？くろすさいとすくりぷてぃんぐ
クロスサイトスクリプティング（XSS）とは、Webページに埋め込まれる値の中へ攻撃者がスクリプトを混入させ、それを開いた利用者のブラウザで動かす攻撃。データのはずの文字列が指示として解釈されることが原因で、セッションクッキーの持ち出しや本人の権限での操作に悪用される。防ぐ要は、出力する文脈に合わせた変換である。
最終更新：2026-10-06
ネットワークSPを最短で暗記・合格する →背景
HTMLは表示される文書と実行される指示を同じ文字列の中に書ける形式なので、利用者が入れた文字がそのまま出力に混ざると、データのつもりの文字列が指示として解釈されてしまう。この境界を出力の時点で引き直すのがエスケープである。実行されるのは被害者のブラウザの中なので、通信路の暗号化でもネットワーク境界の遮断でも止められない。
具体例
機器やサーバの管理画面が、検索欄へ入れた文字列をそのまま結果画面に出す作りだと、細工したURLを踏ませるだけで管理者のブラウザ上でスクリプトが動く。出力時に記号を実体参照へ変換し、セッションのクッキーにHttpOnly属性を付けて読み出しを封じる。
試験での引っ掛け
SQLインジェクションと混同しやすいが、被害が起きる場所が違う。XSSは被害者のブラウザ側、SQLインジェクションはサーバ側のデータベースである。したがって入力値の検査だけでは足りず、出力の文脈に応じたエスケープが要る。前段に置くWAFは緩和であって、欠陥の修正にはならない。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。