クロスサイトスクリプティング（XSS）とは？
クロスサイトスクリプティング（XSS）とは、脆弱なWebページに攻撃者のスクリプトを埋め込み、閲覧した利用者のブラウザ上で実行させる攻撃です。クッキー（セッションID）の窃取や偽入力フォームの表示に悪用されます。対策はHTMLの特殊文字をエスケープすることです。
基本情報技術者試験の過去問では5回出題されています（2016年度〜2025年度）。
くろすさいとすくりぷてぃんぐ
クロスサイトスクリプティング（XSS）の意味
脆弱なWebページに攻撃者のスクリプトを埋め込み、閲覧した利用者のブラウザ上で実行させる攻撃です。クッキー（セッションID）の窃取や偽入力フォームの表示に悪用されます。対策はHTMLの特殊文字をエスケープすることです。
クロスサイトスクリプティング（XSS）の具体例
掲示板の投稿欄にスクリプトタグを含む文字列を書き込み、そのまま表示されると閲覧者全員のブラウザで実行される（蓄積型）。検索結果に入力語をそのまま出す画面で、細工したURLを踏ませる形が反射型です。
クロスサイトスクリプティング（XSS）は試験でどう引っ掛けられる？
被害を受けるのはサーバではなく「サイトを訪れた利用者」です。攻撃対象の取り違えが定番。クッキーにHttpOnly属性を付けるのは窃取の被害軽減策で、XSS自体をなくす根本対策はエスケープ処理です。
クロスサイトスクリプティング（XSS）と関連する用語
クロスサイトスクリプティング（XSS）が出た過去問
WAFの説明はどれか。
正解：Webサイトに対するアクセス内容を監視し，攻撃とみなされるパターンを検知したときに当該アクセスを遮断する。
要点：WAFはHTTPの内容を検査してWeb攻撃を遮断する
WAF（Web Application Firewall）は、Webアプリケーションへの通信内容を検査し、SQLインジェクションやクロスサイトスクリプティングなど攻撃と判断されるパターンを含むアクセスを遮断する仕組みである。通常のファイアウォールがポート単位で制御するのに対し、HTTPの中身まで見る点が特徴である。
出典：平成28年度 秋期 基本情報技術者試験 午前 問42（IPA）クライアントとWebサーバの間において，クライアントからWebサーバに送信されたデータを検査して，SQLインジェクションなどの攻撃を遮断するためのものはどれか。
正解：WAF
要点：WAFはHTTPの中身を検査してWeb攻撃を遮断する
WAF（Web Application Firewall）は、HTTPの通信内容そのものを検査し、攻撃に典型的なパターンを含むリクエストを遮断する。パケットヘッダしか見ない従来型ファイアウォールでは防げない、SQLインジェクションやクロスサイトスクリプティングへの対策として位置付けられる。アプリケーション改修が難しい場合の緩和策としても使われる。
出典：平成28年度 春期 基本情報技術者試験 午前 問43（IPA）SQLインジェクション攻撃による被害を防ぐ方法はどれか。
正解：入力された文字が、データベースへの問合せや操作において、特別な意味をもつ文字として解釈されないようにする。
要点：SQL文の制御記号として解釈させないのが根本対策
SQLインジェクションは、入力値に含まれる引用符などの記号がSQL文の一部として解釈されてしまうことで起こる。対策は、入力された文字をSQLにとって特別な意味をもつ記号として扱わせないことであり、プレースホルダを使った問合せや適切なエスケープ処理がこれに当たる。HTMLタグの無害化はクロスサイトスクリプティング、上位ディレクトリ指定の拒否はディレクトリトラバーサルへの対策である。
出典：令和4年度 s 基本情報技術者試験 kamokuA 問36（IPA）WAFの説明はどれか。
正解：Webサイトに対するアクセス内容を監視し，攻撃とみなされるパターンを検知したときに当該アクセスを遮断する。
要点：WAFはHTTPの中身を検査し攻撃を遮断する仕組み
WAFはWebアプリケーションへの通信内容を検査し、SQLインジェクションやクロスサイトスクリプティングなど攻撃とみなせるパターンを検知して遮断する仕組みである。ネットワーク層で通信を絞るファイアウォールとは異なり、HTTPの中身まで見る点が特徴になる。WPA2やSIEM、UTMとは目的が異なる。
出典：令和7年度 （公開問題） 基本情報技術者試験 kamokuA 問10（IPA）製造業のA社では、ECサイト（以下、A社のECサイトをAサイトという）を使用し、個人向けの製品販売を行っている。Aサイトは、A社の製品やサービスが検索可能で、ロ…
正解：項番1: B社, 項番2: C社, 項番3: B社
要点：PaaSではOS・ミドルは事業者、アプリは利用者側の責任
責任の分界点は、誰がその層を管理しているかで決まります。PaaSではOSやミドルウェアの管理は事業者側の範囲なので、アプリケーションサーバのOSとDBMSの既知の脆弱性への対処はPaaS提供者であるB社が担います。一方、クロスサイトスクリプティングはWebアプリケーションプログラムの脆弱性であり、委託契約で対策を担うと定めたC社が対処します。
出典：令和4年度 s 基本情報技術者試験 kamokuB 問17（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。