クロスサイトスクリプティング

クロスサイトスクリプティングとは

クロスサイトスクリプティング (Cross Site Scripting) とは、動的にWebページを生成するアプリケーションのセキュリティ上の不備を意図的に利用し、狭義にはサイト間を横断して悪意のあるスクリプトを混入させること。また、それを許す脆弱性のこと。広義にはスクリプトを混入させずとも、任意の要素を混入させられうる脆弱性を含む。略記としてCSS、XSSがある。CSSは同分野でよく使用されるCascading Style Sheetsの略でもあるので、混乱を避けるためにXSSと表記されることが多い。
攻撃者が対象となるサイトとは異なるサイトからスクリプトを送り込み、訪問者に実行せしめることから、クロスサイト（サイトを横断した）スクリプティング（スクリプト処理）と呼ばれる。
ウェブアプリケーションが入力したデータ（フォーム入力など）を適切にエスケープしないままHTML中に出力することにより、入力中に存在するタグ等文字がそのままHTMLとして解釈される。ここでスクリプトを起動させることにより、以下に挙げるような攻撃が成立する。

クッキーの値を取得あるいは設定することにより、セッションハイジャックする
強制的なページ遷移を起こさせ、クロスサイトリクエストフォージェリ対策を回避する（取得したクッキーを攻撃者側でそのまま利用できない場合に用いられる手法）
ページ全体を置き換えることにより、偽のページを作り出す（典型的にはフィッシングに用いられる）
フォームの送信先を置換することにより、入力を第三者サイトに送信するよう仕向ける

これらの攻撃が成立することにより、秘密情報の窃取や、回復不可能な権利侵害につながるおそれがある。

• 出典: フリー百科事典『ウィキペディア（Wikipedia）』
• [ クロスサイトスクリプティングの改定履歴 ]