修了試験 2014-07-27実施分 基本情報技術者試験 問40

解説

正解は3です。 クロスサイトスクリプティング（XSS）は、Webサイトの入力欄などに悪意のあるスクリプトを埋め込み、そのページを表示した利用者のブラウザで実行させる攻撃です。 Cookieの盗難や偽の画面の表示などに悪用されます。 【選択肢別解説】 1：× OSのセキュリティパッチは、OSの脆弱性を修正するものです。 XSSはWebアプリケーションが入力をそのまま表示することが原因なので、OSの修正では防げません。 2：× SNMP（Simple Network Management Protocol）エージェントは、ネットワーク機器の状態を監視・管理するためのものです。 XSSの防止とは関係がありません。 3：○ 入力データを表示するときに「<」「>」などの特殊文字をエスケープすれば、スクリプトはただの文字列として表示されます。 ブラウザでスクリプトとして実行されなくなるので、XSSを防げます。 4：× 許容範囲を超えたデータの書込みを禁止するのは、バッファオーバフローへの対策です。 短いスクリプトでもXSSは成立するので、この対策では防げません。 【ポイント】 XSS対策の基本は、出力時のエスケープ処理です。 SQLインジェクション対策（SQLの特殊文字の無害化）と混同しないようにしましょう。