クロスサイト・スクリプティング（Cross-site Scripting）とは、悪意のあるサイトと正規のサイトを横断（クロスサイト）して、スクリプトを実行（スクリプティング）させ、情報を詐取する手口です。
Ｗｅｂページの入力テキストボックスなどに、ＪａｖａスクリプトやＨＴＭＬコードなどを入力すると、それがページに組み込まれて、入力者の意図した処理を行うことができます。
それを悪用すると、次の手順により、個人情報を入手することができます。同じような方法で、ウイルスを侵入させることもできます。
- ① Ａは、フィッシングなどの手口により、利用者ＢにＡの悪意のページをアクセスするように仕向ける。
- ② このページには、Ｃのサイトへ送る情報の宛先をＡに変更するスクリプトが組み込まれており、このページを閲覧すると、Ｃへ転送する機能を持っている。
- ③ Ｂは、自分が気づかないままにＣへそれを転送する。するとＣの正規のページが不正のページに変換される。
- ④ それがＢに送られて実行される。すなわち、Ｃへの宛先がＡに変更されている。
- ⑤ ＢはＣのサイトを信用している（しかも表示されているページのＵＲＬは、正しくＣのＵＲＬである）ので、パスワードやクレジット番号などを送信する。あるいは、クッキーを受け入れる。
- ⑥ これらの情報はＡの指定した宛先に送信される。すなわち、Ｂは気づかないうちに個人情報をＡに漏洩してしまう。あるいは、ウイルスの侵入をゆるしてしまう。
これを防ぐには、正規のサイトＣの管理者がこのような改ざんを防止することが必要です。それには、ＷｅｂページのＦＯＲＭ（入力場所）での入力データをチェックして、タグやスクリプトのような危険のある文字列を受け付けないようにするなど、いろいろな対処をする必要があります。