平成30年度秋期 応用情報技術者試験 午前 問41

正解：ウ

AI解説

正解はウ。クロスサイトスクリプティング(XSS)は、Webページの入力値がそのままHTMLに出力される脆弱性を悪用し、悪意のあるスクリプトを利用者のブラウザで実行させる攻撃である。対策の基本は、出力時に「＜」「＞」「&」などをエスケープ(サニタイジング)して、入力データがHTMLタグとして解釈されないようにすることである。 ア: SNMPエージェントはネットワーク機器の監視・管理用プロトコルの構成要素であり、XSS攻撃の検知手段ではない。 イ: OSへのセキュリティパッチ適用はOSの既知脆弱性への対策であり、Webアプリケーションの実装に起因するXSSは防げない。 ウ: 正しい。出力時のエスケープ処理によりスクリプトが文字列として表示されるだけになり、実行を防止できる。 エ: 入力データの大きさ制限はバッファオーバフロー対策に関連するものであり、XSSの本質的な対策ではない。 💡 XSS対策＝「出力時のエスケープ(HTMLタグとして解釈させない)」。SQLインジェクション対策のプレースホルダ、バッファオーバフロー対策のサイズチェックなど、攻撃と対策の対応を混同させる出題が定番である。