修了試験 2017-07-23実施分 基本情報技術者試験 問36

解説

正解は4です。 クロスサイトスクリプティング（XSS）は、Webアプリケーションの出力処理の不備を突いて、利用者のブラウザ上で不正なスクリプトを実行させる攻撃です。 罠のページから脆弱なサイトへスクリプトを含む文字列を送り込み、そのサイトのレスポンスの中でスクリプトが実行されるため、サイトをまたぐ攻撃と呼ばれます。 【選択肢別解説】 1：× データ操作言語の呼出し方の不備を突き、悪意のある文字列でデータベースを不正に操作するのは、SQLインジェクションです。 2：× 他のサイトを介して大量のパケットを送り付け、サービスを提供不能にするのは、DoS（Denial of Service）攻撃、特に踏み台を使うDDoS（Distributed DoS）攻撃です。 3：× 確保されたメモリ領域を超えて書込みや読出しを行い、プログラムの異常終了や不正コードの実行を起こすのは、バッファオーバフロー攻撃です。 4：○ 利用者が罠のページのリンクをクリックすると、不正スクリプトを含む文字列が脆弱なWebサーバに送られます。 それがレスポンスに埋め込まれて利用者のブラウザで実行されるのがXSSの手口で、クッキーの盗用などの情報漏えいにつながります。 【ポイント】 XSSの対策は、Webページに出力する文字列に含まれる「<」「>」「&」などの特殊文字をエスケープ（無害な文字に置き換え）することです。 SQLインジェクションの対策は、プレースホルダ（バインド機構）の利用です。