🌈にじいろ式｜クロスサイトスクリプティング（XSS）とクロスサイトリクエストフォージェリー（CSRF）の違い（言葉で覚える）

紛らわしい攻撃名を
名前の意味から区別する方法

事務職をしながら情報処理安全確保支援士を目指して勉強しているにじいろです。

プロ野球選手ほどキャッチボールの質にこだわります。
今日も基本を押さえていきましょう⚾️

📚 今回はまず基本の整理です。

名前がとても似ているこの2つ。

🟥 クロスサイトスクリプティング（XSS）
🟦 クロスサイトリクエストフォージェリー（CSRF）

「どっちだっけ？」となりがちなので、
応用情報レベルから整理し直します。

🧩【XSSの「X」はCross】

XSS = Cross Site Scripting
CSRF = Cross Site Request Forgery

本来、Cross Site Scripting は
頭文字を取ると「CSS」になります。ただ、スタイルシートのCSSと区別するために、
XSS と表記されています。

🌍【クロスサイトは同じ意味】

クロスサイト（Cross Site）とは、
別のサイトからアクセスすることです。

例：攻撃サイト → 銀行サイト🏦

つまり、XSSもCSRFも
「クロスサイト」までは同じ意味
ということになります。

🔍【違いは後ろの単語】

そうすると、この2つの覚え方はシンプルです。

クロスサイトは同じ。違いは
✏️ Script （スクリプト）か
📩 Request （リクエスト）か。

画像は生成AIで、黒板にしてほしいと
リクエストしました😊
塾講師ならこう言います。
「違いは、後ろの言葉で注目ね！」
言葉で覚える、のタイトルに
あっているイラストですよね🙌

🟥【XSS】クロスサイトスクリプティング

XSSは、スクリプトが入り込む攻撃です。
ユーザーのブラウザで、悪意あるコードが実行されます。

🔓 被害例
・Cookie盗難
・セッションハイジャック

🛡️ 主な対策

🧼 出力エスケープ
escape は「無害化する」という意味。
スクリプトとして実行させず、文字として表示させます。

🚫 HttpOnly
HttpOnly は「HTTP通信だけ」という意味。
JavaScriptからCookieを読めないようにして、盗まれにくくします。

🛑 入力チェック
危険な入力を受け付けない対策です。
そもそもスクリプトを入力できないようにします。

🟦【CSRF】クロスサイトリクエストフォージェリー

CSRFは、リクエスト偽造の攻撃です。
ログイン中のユーザーを狙って、別サイトから不正なリクエストを送ります。

🔓 被害例
・不正送金
・設定変更

🛡️ 主な対策

🔐 CSRFトークン
token は「しるし・合言葉」という意味。
本物の画面から送られたリクエストか確認します。

🏠 SameSite属性
SameSite は「同じサイト」という意味。
別サイトからのCookie送信を防ぎ、攻撃を成立しにくくします。

CSRFは、ログイン状態を利用する攻撃
というイメージで覚えるとわかりやすいです。

📝【まとめ】

XSS → スクリプト ✏️
CSRF → リクエスト 📩

覚えるときは

クロスサイトまでは同じ。
違いは Script か Request。

🔜【次回予告】

今回は「違いだけ」を、言葉に注目して整理しました。
次回はそれぞれの仕組みと対策を、支援士レベルで深掘りして
週末アップ予定です。

先日、支援士合格の人と話す機会がありました。
CORSの午後問題が難しいと話をしたところ、この単語は知らなかったと話していました。CORSの記事は以下の通り。

なんだかものすごく安心しました🙌
合格者が、全ての範囲が完璧なのではないと。

勉強をしていると色々な壁に
ぶつかりますが、
コツコツ積み上げていきたいと思います。

では週末の深掘り版をお楽しみに😊