テクノロジ系出題頻度 3/3
XSSとCSRF
えっくすえすえすとしーえすあーるえふ
定義
悪意スクリプトを埋込むのがXSS、利用者の権限を悪用するのがCSRF。
詳細解説
XSS（Cross-Site Scripting）は脆弱なWebアプリに攻撃者がJavaScriptを注入し、訪問者の画面で実行させクッキー盗難等を行う。対策は出力エスケープ、CSP（Content Security Policy）、HttpOnlyクッキー。CSRF（Cross-Site Request Forgery）はログイン中ユーザーを罠サイトに誘導し、本人意図せずリクエストを送信させる攻撃。対策はCSRFトークン、SameSiteクッキー属性。
「XSSとCSRF」が出る問題
関連用語
よくある質問
Q. XSSとCSRFとは何ですか？
A. 悪意スクリプトを埋込むのがXSS、利用者の権限を悪用するのがCSRF。
Q. IT パスポート試験での位置づけは？
A. テクノロジ系の重要用語です。出題頻度は 3/3 （★3）。 頻出のため確実に押さえておきましょう。