修了試験 2017-06-11実施分 基本情報技術者試験 問45

解説

正解は4です。 クロスサイトスクリプティング（XSS）は、利用者の入力をそのままWebページに表示する脆弱性を突き、悪意のあるスクリプトを利用者のブラウザで実行させる攻撃です。 対策は、入力された文字がHTMLのタグやスクリプトとして解釈されないようにすることです。 【選択肢別解説】 1：× SNMP（Simple Network Management Protocol）エージェントによる負荷監視は、サーバの運用監視の手段です。 XSSの防止にはなりません。 2：× OSのセキュリティパッチの適用は重要ですが、XSSはWebアプリケーションの作りに起因する脆弱性なので、OSの更新では防げません。 3：× 許容範囲を超える大きさのデータの書込みを禁止するのは、バッファオーバフローへの対策です。 4：○ 「<」「>」「&」「"」などHTMLで特別な意味をもつ文字を、「&lt;」などの文字参照に置き換えて表示すれば、スクリプトとして実行されなくなります。 【ポイント】 XSS対策は「出力時のエスケープ処理」、SQLインジェクション対策は「プレースホルダ（バインド機構）の利用」と対で覚えます。