平成25年度秋期 応用情報技術者試験 午前 問42
クロスサイトスクリプティングの手口はどれか。
- ア Webアプリケーションに用意された入力フィールドに、悪意のあるJavaScriptコードを含んだデータを入力する。
- イ インターネットなどのネットワークを通じてサーバに不正にアクセスしたり、データの改ざん・破壊を行ったりする。
- ウ 大量のデータをWebアプリケーションに送ることによって、用意されたバッファ領域をあふれさせる。
- エ パス名を推定することによって、本来は認証された後にしかアクセスが許可されていないページに直接ジャンプする。
解答・解説を見る
正解：ア
AI解説
クロスサイトスクリプティング（XSS）は、入力値のエスケープ（サニタイジング）処理が不十分なWebアプリケーションの入力フィールドに悪意のあるスクリプト（JavaScriptなど）を含むデータを注入し、そのページを閲覧した利用者のブラウザ上で実行させる攻撃である。よってア。 ア: 正しい。入力フィールド経由でスクリプトを埋め込み、閲覧者側で実行させるのがXSSの手口である。 イ: ネットワーク経由の不正アクセスやデータの改ざん・破壊は、クラッキング（不正アクセス行為）一般の説明である。 ウ: 大量データでバッファ領域をあふれさせるのは、バッファオーバフロー攻撃の説明である。 エ: パス名（URL）を推定して認証後のページへ直接アクセスするのは、強制ブラウジングの説明である。 💡 XSSの対策は特殊文字のエスケープ処理。『入力フィールド＋スクリプト＋閲覧者のブラウザで実行』の3点セットが出たらXSSと判断する。
出典：平成25年度 秋期 応用情報技術者試験 午前 問42 ／ 独立行政法人情報処理推進機構（IPA）
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。