平成27年度秋期 応用情報技術者試験 午前 問36
クロスサイトスクリプティングの手口に該当するものはどれか。
- ア 攻撃者が，スクリプトを用いてWebサイトのOSコマンドを呼び出し，任意のファイルの読出しや変更・削除などの不正操作をする。
- イ 攻撃者が，スクリプトを用いて特定のPCへ大量に接続要求を送り出し，通信機能を停止させる。
- ウ 攻撃者が用意したスクリプトでWebサイトのサービスポートに順次アクセスし，各ポートに対応するサービスに存在するセキュリティ上の弱点を探し出す。
- エ 攻撃者が用意したスクリプトを，閲覧者のWebブラウザを介して脆弱なWebサイトに送り込み，閲覧者のWebブラウザ上でスクリプトを実行させる。
解答・解説を見る
正解：エ
AI解説
正解はエ。クロスサイトスクリプティング(XSS)は,入力値の出力時エスケープ処理が不十分なWebサイトの脆弱性を悪用し,攻撃者が仕掛けたスクリプトを標的サイト経由で閲覧者のブラウザに送り込み,閲覧者のブラウザ上で実行させる攻撃である。スクリプトが「サイトをまたがって(クロスサイト)」閲覧者の環境で動く点が特徴で,クッキー窃取や偽ページ表示につながる。 ア: Webサイト上でOSコマンドを不正に呼び出してファイル操作などを行うのはOSコマンドインジェクションの説明である。 イ: 大量の接続要求を送り付けて通信機能を停止させるのはDoS攻撃(サービス妨害攻撃)の説明である。 ウ: サービスポートへ順次アクセスして弱点を探すのはポートスキャンの説明である。 エ: 正しい。脆弱なサイトを介して閲覧者のブラウザ上でスクリプトを実行させる,XSSの典型的な手口である。 💡 XSSは「被害者=サイトの閲覧者」「実行場所=閲覧者のブラウザ」が判別キーワード。サーバ側でコマンドが実行されるならOSコマンドインジェクション/SQLインジェクション系と区別する。対策は出力時のエスケープ(サニタイジング)である。
出典：平成27年度 秋期 応用情報技術者試験 午前 問36 ／ 独立行政法人情報処理推進機構（IPA）
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。