修了試験 2014-12-21実施分 基本情報技術者試験 問40

解説

正解は1です。 クロスサイトスクリプティング（XSS）は、Webアプリケーションの脆弱性を突く攻撃です。 入力内容をそのまま画面に出力するWebページに悪意のあるスクリプトを埋め込み、閲覧した利用者のブラウザで実行させます。 その結果、Cookieの盗難や偽の画面の表示などの被害が起こります。 【選択肢別解説】 1：○ 入力フィールドにJavaScriptなどの悪意のあるコードを含むデータを入力し、利用者のブラウザで実行させるのがXSSの手口です。 2：× ネットワーク経由でサーバに不正アクセスし、データを改ざん・破壊する行為は、不正アクセス（クラッキング）全般の説明です。 XSSに固有の手口ではありません。 3：× 大量のデータを送り込み、バッファ領域をあふれさせるのはバッファオーバフロー攻撃です。 4：× パス名を推測して、認証後にしか見られないページへ直接アクセスするのは強制ブラウジングです。 【ポイント】 XSSの対策は、出力する文字列の中の「<」「>」などの特殊文字を無害な文字に置き換えるエスケープ処理（サニタイジング）です。 SQL文を不正に組み立てさせるSQLインジェクションとも区別しておきましょう。