SGセキュリティ · 情報セキュリティ

クロスサイトスクリプティング

Cross-Site Scripting (XSS)

くろすさいとすくりぷてぃんぐ

Webアプリケーションの脆弱性を悪用して、利用者のブラウザ上で不正なスクリプトを実行させる攻撃。攻撃者が仕込んだスクリプトにより、Cookie情報の窃取やセッションハイジャック、偽のページ表示などが行われる。

共有:

他の資格での定義

Webアプリケーションの脆弱性を悪用し、悪意のあるスクリプトをWebページに埋め込む攻撃。XSSと略され、閲覧者のcookieの窃取や偽ページの表示などが行われる。

Webアプリケーションの脆弱性を悪用し、利用者のブラウザ上で悪意のあるスクリプトを実行させる攻撃手法。XSSとも略され、Cookie窃取やセッションハイジャック、偽ページ表示などの被害を引き起こす。入力値のサニタイジングで対策する。

Webアプリケーションの脆弱性を利用して、悪意のあるスクリプトをWebページに埋め込み、閲覧者のブラウザ上で実行させる攻撃手法。XSSと略され、Cookie窃取やセッションハイジャックに悪用される。入力値のサニタイジング（エスケープ処理）が主な対策。

Webアプリケーションの脆弱性を利用して、悪意のあるスクリプトをWebページに埋め込む攻撃。反射型、格納型、DOMベースの3種類がある。対策として出力時のHTMLエスケープ、Content-Security-Policy（CSP）ヘッダの設定、入力値の検証がある。

Webアプリケーションが利用者の入力を適切にエスケープせずにWebページへ出力する脆弱性を突き、攻撃者が仕込んだスクリプトを閲覧者のWebブラウザ上で実行させる攻撃。XSSと略し、Cookieの窃取によるセッションハイジャックや偽の入力フォームの表示などに悪用される。

Past Exams

過去問で 41 回出題（ITパスポート試験 9・応用情報技術者試験 9・情報処理安全確保支援士試験 6・高度試験午前Ⅰ 5・システムアーキテクト試験 4・情報セキュリティマネジメント試験 3・ITストラテジスト試験 3・基本情報技術者試験 2）。うち 4 回は用語そのものを問う問題です。

残り 31 件を表示

出典: 独立行政法人情報処理推進機構（IPA）の過去問題。問題文は IPA のサイトの PDF で確認できます。「用語を問う問題」は、この用語の説明や特徴そのものを問う問題です。「選択肢」は、問題文ではなく選択肢に出たものです。用語名で照合しているため、関係の薄い問題が含まれることがあります。