テクノロジ
クロスサイトスクリプティングとは
英語名：Cross-site Scripting
ひとことで言うと：Webページへ悪意あるスクリプトを混入させ、閲覧者のブラウザ上で実行させる攻撃。
意味をわかりやすく解説
XSSでは掲示板投稿やURLパラメータなどの入力が適切に処理されずHTMLへ出力されると、攻撃者のJavaScriptが別利用者のブラウザで動作する可能性があります。
対策では出力する文脈に応じたエスケープが基本です。Content Security Policyなども被害軽減に役立ちます。SQLインジェクションがDB問い合わせを狙うのに対し、XSSは主にブラウザ上のスクリプト実行を狙います。
具体例
掲示板に <script>...</script> を投稿し、閲覧者のブラウザでそのコードが実行されるのはXSSの例です。
似た用語との違い
CSRF
XSSは攻撃者のスクリプトをブラウザで実行します。CSRFはログイン中の利用者へ意図しない正規リクエストを送らせます。
基本情報技術者試験の試験ポイント
『入力時に全部削除』ではなく、出力先のHTML/属性/JavaScriptなど文脈に応じて安全にエスケープする点を押さえます。
CHECK QUESTION
利用者投稿をHTML本文へ表示する際、XSS対策として重要なのは何ですか。
答えを見る
HTMLとして解釈される特殊文字を、出力文脈に応じて適切にエスケープすることです。
この説明は分かりやすかったですか？
基本情報技術者試験を勉強中ですか？
この用語を含む重要用語を、単語帳や4択テストで学習できます。