平成30年度 高度共通 午前I（PM試験） 問12
クロスサイトスクリプティングの手口はどれか。
- ア Webアプリケーションのフォームの入力フィールドに，悪意のあるJavaScriptコードを含んだデータを入力する。
- イ インターネットなどのネットワークを通じてサーバに不正にアクセスしたり，データの改ざんや破壊を行ったりする。
- ウ 大量のデータをWebアプリケーションに送ることによって，用意されたバッファ領域をあふれさせる。
- エ パス名を推定することによって，本来は認証された後にしかアクセスが許可されないページに直接ジャンプする。
解答・解説を見る
正解：ア
AI解説
クロスサイトスクリプティング(XSS)は、入力値の検査やエスケープ処理が不十分なWebアプリケーションのフォームなどに悪意のあるスクリプト(JavaScriptコードなど)を注入し、それを閲覧した利用者のブラウザ上で実行させる攻撃である。「スクリプトを入力し利用者側で実行させる」点が判断基準となる。 ア: 正解。フォームの入力フィールドに悪意のあるJavaScriptコードを含むデータを入力するのはXSSの典型的な手口である。 イ: ネットワーク経由でサーバへ不正にアクセスし改ざん・破壊を行う行為は不正アクセス(クラッキング)の一般的な説明であり、XSS固有の手口ではない。 ウ: 大量のデータを送ってバッファ領域をあふれさせるのはバッファオーバフロー攻撃の説明である。 エ: パス名(URL)を推定して認証後のページへ直接アクセスするのは強制ブラウジング(ディレクトリトラバーサルに類する手口)の説明である。 💡 XSSは「利用者のブラウザでスクリプトが実行される」、SQLインジェクションは「DBへの命令が実行される」、CSRFは「利用者に意図しないリクエストを送らせる」。実行される場所と対象で3つを区別しよう。
出典：平成30年度 秋期 プロジェクトマネージャ試験 午前I 問12 ／ 独立行政法人情報処理推進機構（IPA）
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。