クロスサイトスクリプティング（XSS）とは？
クロスサイトスクリプティング（XSS）とは、脆弱なWebサイトの入力欄などを通じて悪意あるスクリプトを埋め込み、そのページを閲覧した別の利用者のブラウザ上でスクリプトを実行させる攻撃手法。
情報セキュリティマネジメント試験の過去問では4回出題されています（2016年度〜2018年度）。
くろすさいとすくりぷてぃんぐ
クロスサイトスクリプティング（XSS）の意味
脆弱なWebサイトの入力欄などを通じて悪意あるスクリプトを埋め込み、そのページを閲覧した別の利用者のブラウザ上でスクリプトを実行させる攻撃手法。
クロスサイトスクリプティング（XSS）の具体例
掲示板の投稿欄に悪意あるスクリプトを仕込み、他の閲覧者がそのページを開いた瞬間にクッキー情報が攻撃者へ送信されてしまう事例がある。
クロスサイトスクリプティング（XSS）は試験でどう引っ掛けられる？
攻撃対象はサイト運営者ではなく「そのページを閲覧した別の利用者」である点が、直接サーバを狙うSQLインジェクションと異なる。
クロスサイトスクリプティング（XSS）と関連する用語
クロスサイトスクリプティング（XSS）が出た過去問
クロスサイトスクリプティングの手口はどれか。
正解：Webアプリケーションに用意された入力フィールドに、悪意のあるJavaScriptコードを含んだデータを入力する。
要点：XSSは他人のブラウザで悪意のスクリプトを実行させる
クロスサイトスクリプティング（XSS）は、利用者の入力をそのままWebページに出力してしまう脆弱性を突き、悪意のあるスクリプトを他の利用者のブラウザ上で実行させる攻撃である。これによりCookieの窃取や偽の入力画面の表示が可能になる。対策は、出力時に「<」などをエスケープするサニタイジングであり、入力を信用せず出力の文脈に応じて無害化することが要点である。
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問22（IPA）クライアントとWebサーバの間において、クライアントからWebサーバに送信されたデータを検査して、SQLインジェクションなどの攻撃を遮断するためのものはどれか。
正解：WAF
要点：WAFはHTTPの中身を検査してWebアプリへの攻撃を遮断する
WAF（Web Application Firewall）は、HTTPリクエストの中身を解析し、SQLインジェクションやクロスサイトスクリプティングなど、Webアプリケーションの脆弱性を突く攻撃パターンを検出して遮断する。通常のファイアウォールが見ないアプリケーション層のデータを検査する点が特徴である。
出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問13（IPA）クロスサイトスクリプティングに該当するものはどれか。
正解：攻撃者が罠を仕掛けたWebページを利用者が閲覧し、当該ページ内のリンクをクリックしたときに、不正スクリプトを含む文字列が脆弱なWebサーバに送り込まれ、レスポンスに埋め込まれた不正スクリプトの実行によって、情報漏えいをもたらす。
要点：XSSは応答に埋め込まれた不正スクリプトが閲覧者側で実行される
クロスサイトスクリプティングは、Webアプリケーションが利用者からの入力を適切にエスケープせずに応答へ埋め込んでしまう脆弱性を突く攻撃である。攻撃者が仕込んだスクリプトが被害者のブラウザ上で実行され、クッキーの窃取などの被害につながる。
出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問21（IPA）WAFの説明はどれか。
正解：Webサイトに対するアクセス内容を監視し，攻撃とみなされるパターンを検知したときに当該アクセスを遮断する。
要点：WAFはHTTPの中身を見てアプリ層の攻撃を遮断する
WAFはWebアプリケーションへのHTTP通信の内容を検査し、SQLインジェクションやクロスサイトスクリプティングなどの攻撃に特徴的なパターンを検知したときに、その通信を遮断または無害化する仕組みである。ネットワーク層のポート単位で制御するファイアウォールでは防げない、アプリケーション層の攻撃に対処できる点が特徴である。
出典：平成30年度 春期 情報セキュリティマネジメント試験 午前 問12（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。