IT資格用語解説応用情報技術者試験・攻撃手法
クロスサイトスクリプティング
更新日:
用語解説
クロスサイトスクリプティング（XSS）は、Webアプリケーションの脆弱性を突いて、悪意のあるスクリプトを利用者のブラウザで実行させる攻撃です。
■ 試験で押さえるポイント
入力値をそのまま画面に出力するWebページで起こります。
cookieの盗難や、偽の入力画面の表示などに悪用されます。
対策は、出力するときのエスケープ処理、CSPの設定、cookieのHttpOnly属性です。
■ 過去問での着眼点
対策の基本は、出力時のエスケープ（<を&lt;に変換するなど）です。
例: 掲示板にスクリプトを含む投稿をされ、閲覧した利用者のcookieが盗まれます。