修了試験 2012-01-22実施分 基本情報技術者試験 問42

解説

正解は1です。 クロスサイトスクリプティング（XSS）は、Webアプリケーションが入力値を無害化（エスケープ）せずに出力する脆弱性を突く攻撃です。 攻撃者が仕込んだスクリプトが、ほかの利用者のブラウザで実行されてしまいます。 【選択肢別解説】 1：○ 入力フィールドに悪意のあるJavaScriptを含むデータを入力し、Webページに埋め込ませます。 そのページを見た利用者のブラウザでスクリプトが実行され、Cookieの盗難などの被害が生じます。 2：× ネットワークを通じたサーバへの不正アクセスやデータの改ざん・破壊は、クラッキング全般の説明です。 XSSに特有の手口ではありません。 3：× 大量のデータを送ってバッファ領域をあふれさせるのは、バッファオーバフロー攻撃です。 4：× パス名を推測して、認証後にしか見られないページへ直接アクセスするのは、強制ブラウジングと呼ばれる手口です。 【ポイント】 XSSの対策は、出力時に「<」や「>」などの特殊文字をエスケープすることです。 SQLインジェクションは「データベースへの命令を注入」、XSSは「ブラウザで動くスクリプトを注入」と区別しましょう。