クロスサイトスクリプティング（XSS）とは？
クロスサイトスクリプティング（XSS）とは、Webページの出力に利用者入力がそのまま埋め込まれる欠陥を突き、閲覧者のブラウザ上で不正なスクリプトを実行させる攻撃。反射型、格納（蓄積）型、DOM型がある。格納型は投稿内容などとしてサーバに保存された不正スクリプトが、閲覧者ごとに実行される。
システムアーキテクト試験の過去問では2回出題されています（2018年度〜2021年度）。
くろすさいとすくりぷてぃんぐ
クロスサイトスクリプティング（XSS）の意味
Webページの出力に利用者入力がそのまま埋め込まれる欠陥を突き、閲覧者のブラウザ上で不正なスクリプトを実行させる攻撃。反射型、格納（蓄積）型、DOM型がある。格納型は投稿内容などとしてサーバに保存された不正スクリプトが、閲覧者ごとに実行される。
クロスサイトスクリプティング（XSS）の具体例
掲示板の投稿にスクリプトを埋め込み、閲覧者のセションIDを外部へ送信させる。
クロスサイトスクリプティング（XSS）は試験でどう引っ掛けられる？
対策の中心は出力時のエスケープ（HTMLエンコード）。入力時の検査だけでは不十分。
クロスサイトスクリプティング（XSS）と関連する用語
クロスサイトスクリプティング（XSS）が出た過去問
格納型クロスサイトスクリプティング（Stored XSS又はPersistent XSS）攻撃に該当するものはどれか。
正解：Webサイト上の掲示板に攻撃用スクリプトを忍ばせた書込みを攻撃者が行い、その後に当該掲示板を閲覧した利用者のWebブラウザで、攻撃用スクリプトが実行された。
要点：格納型XSSは保存された不正スクリプトが閲覧者側で実行される
格納型（蓄積型）クロスサイトスクリプティングは、掲示板の投稿など、サーバ側に保存される内容に攻撃用スクリプトを紛れ込ませ、それを閲覧した不特定の利用者のブラウザ上でスクリプトが実行される攻撃である。攻撃者がリンクを踏ませる必要がないため被害が広がりやすい点が反射型との違いである。
出典：平成30年度 秋期 システムアーキテクト試験 am2 問23（IPA）格納型クロスサイトスクリプティング（Stored XSS又はPersistent XSS）攻撃に該当するものはどれか。
正解：Webサイト上の掲示板に攻撃用スクリプトを忍ばせた書込みを攻撃者が行うことによって、その後に当該掲示板を閲覧した利用者のWebブラウザで、攻撃用スクリプトが実行された。
要点：格納型XSSは保存された不正スクリプトが閲覧者側で実行される
格納型（蓄積型）クロスサイトスクリプティングは、掲示板の投稿のようにサーバ側へ保存される内容に攻撃用スクリプトを仕込み、それを閲覧した不特定多数の利用者のブラウザ上でスクリプトを実行させる攻撃である。利用者に細工したリンクを踏ませる必要がないため、被害が広範囲に及びやすい。
出典：令和3年度 春期 システムアーキテクト試験 am2 問17（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。