クロスサイト・スクリプティング（Cross-site Scripting）とは、悪意のあるサイトと正規のサイトを横断（クロスサイト）して、スクリプトを実行（スクリプティング）させ、情報を詐取する手口です。
Ｗｅｂページの入力テキストボックスなどに、ＪａｖａスクリプトやＨＴＭＬコードなどを入力すると、それがページに組み込まれて、入力者の意図した処理を行うことができます。
それを悪用すると、次の手順により、個人情報を入手することができます。同じような方法で、ウイルスを侵入させることもできます。
- ① Ａは、フィッシングなどの手口により、利用者ＢにＡの悪意のページをアクセスするように仕向ける。
- ② このページには、Ｃのサイトへ送る情報の宛先をＡに変更するスクリプトが組み込まれており、このページを閲覧すると、Ｃへ転送する機能を持っている。
- ③ Ｂは、自分が気づかないままにＣへそれを転送する。するとＣの正規のページが不正のページに変換される。
- ④ それがＢに送られて実行される。すなわち、Ｃへの宛先がＡに変更されている。
- ⑤ ＢはＣのサイトを信用している（しかも表示されているページのＵＲＬは、正しくＣのＵＲＬである）ので、パスワードやクレジット番号などを送信する。あるいは、クッキーを受け入れる。
- ⑥ これらの情報はＡの指定した宛先に送信される。すなわち、Ｂは気づかないうちに個人情報をＡに漏洩してしまう。あるいは、ウイルスの侵入をゆるしてしまう。
ＣＳＲＦ（クロスサイト・スクリプティング・フォージェリ）
forgeryとは「偽造」のこと。「利用者が意図しない処理」を「正規のＷｅｂページで実行させてしまう」攻撃手法です。
クロスサイト・スクリプティングと似ています。
④までは同じです。
⑤ クッキーにより、Ａが作成した偽のメッセージがＣの正規のページに送られる。
⑥ 正規ページで偽メッセージが実行される。
となります。すなわち、ＡはＢになりすましたのです。
これらを防ぐには、正規のサイトＣの管理者がこのような改ざんを防止することが必要です。それには、ＷｅｂページのＦＯＲＭ（入力場所）での入力データをチェックして、タグやスクリプトのような危険のある文字列を受け付けないとか、エスケープ処理（「＜」を「＆ｌｔ；」のように機能を持たず表示だけの文字列にすること）を施すなど、いろいろな対処をする必要があります。