クロスサイトスクリプティング（XSS）とは？くろすさいとすくりぷてぃんぐ
クロスサイトスクリプティング（XSS）とは、Webサイトの入力内容がそのままページへ出力される欠陥を突き、悪意あるスクリプトを埋め込む攻撃。仕込まれたページを開いた別の利用者のブラウザ上でスクリプトが動き、Cookieの窃取や偽の入力画面の表示につながる。狙われるのはサイトを訪れた利用者の側である。
最終更新：2026-10-06
この語が出る過去問を解く →背景
Webが掲示板やレビュー欄のように利用者の書き込みを表示するようになったとき、文字として見せるつもりの入力が、ブラウザには命令として解釈されうるという問題が生まれた。人の目には投稿文、ブラウザにはプログラムという二重性が、この脆弱性の正体である。対策は入力を疑うことよりも、出力の際に記号を無害な表記へ置き換えるエスケープ処理に置かれる。外部へ委託して作らせたサイトでも、この対策の有無は発注側が確認すべき要件になる。
具体例
レビュー投稿欄へスクリプトを含む文字列を書き込まれ、その商品ページを開いた利用者のセッション情報が外部へ送られる、という形で成立する。IPAの「安全なウェブサイトの作り方」は、出力時のエスケープ処理を代表的な対策として示している。
試験での引っ掛け
被害を受けるのはサイト運営者ではなく、そのページを閲覧した利用者。サーバ内のデータベースを直接狙うSQLインジェクションとは、狙う先が違う。対策も入力チェックだけでは足りず、出力時のエスケープが本筋になる。なお運営側が責任を免れるわけではなく、脆弱性を放置して利用者に被害が出れば管理責任を問われる。
関連用語
出た過去問
問題文で直接問われたものと、解説の中で触れられたものが含まれます。
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問22（IPA）
クロスサイトスクリプティングの手口はどれか。
正解：Webアプリケーションに用意された入力フィールドに、悪意のあるJavaScriptコードを含んだデータを入力する。
要点：XSSは他人のブラウザで悪意のスクリプトを実行させる
クロスサイトスクリプティング（XSS）は、利用者の入力をそのままWebページに出力してしまう脆弱性を突き、悪意のあるスクリプトを他の利用者のブラウザ上で実行させる攻撃である。これによりCookieの窃取や偽の入力画面の表示が可能になる。対策は、出力時に「<」などをエスケープするサニタイジングであり、入力を信用せず出力の文脈に応じて無害化することが要点である。
出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問13（IPA）解説で登場
出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問21（IPA）
クロスサイトスクリプティングに該当するものはどれか。
正解：攻撃者が罠を仕掛けたWebページを利用者が閲覧し、当該ページ内のリンクをクリックしたときに、不正スクリプトを含む文字列が脆弱なWebサーバに送り込まれ、レスポンスに埋め込まれた不正スクリプトの実行によって、情報漏えいをもたらす。
要点：XSSは応答に埋め込まれた不正スクリプトが閲覧者側で実行される
クロスサイトスクリプティングは、Webアプリケーションが利用者からの入力を適切にエスケープせずに応答へ埋め込んでしまう脆弱性を突く攻撃である。攻撃者が仕込んだスクリプトが被害者のブラウザ上で実行され、クッキーの窃取などの被害につながる。
出典：平成30年度 春期 情報セキュリティマネジメント試験 午前 問12（IPA）解説で登場
WAFの説明はどれか。
正解：Webサイトに対するアクセス内容を監視し，攻撃とみなされるパターンを検知したときに当該アクセスを遮断する。
要点：WAFはHTTPの中身を見てアプリ層の攻撃を遮断する
WAFはWebアプリケーションへのHTTP通信の内容を検査し、SQLインジェクションやクロスサイトスクリプティングなどの攻撃に特徴的なパターンを検知したときに、その通信を遮断または無害化する仕組みである。ネットワーク層のポート単位で制御するファイアウォールでは防げない、アプリケーション層の攻撃に対処できる点が特徴である。
出典・参考
公式シラバスの1 技術要素 ＞ 1 情報セキュリティ ＞ サイバー攻撃手法に掲載されている用語です。
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。