修了試験 2017-12-10実施分 基本情報技術者試験 問36

解説

正解は4です。 クロスサイトスクリプティング（XSS）は、Webサイトの脆弱性を悪用する攻撃です。 攻撃者が用意したスクリプトを、閲覧者のブラウザを経由して脆弱なWebサイトに送り込みます。 そのWebサイトが入力をそのまま出力することで、閲覧者のブラウザ上でスクリプトが実行され、クッキーの盗用などの被害が起きます。 【選択肢別解説】 1：× スクリプトを使ってWebサイトのOSコマンドを呼び出し、ファイルを不正に操作するのは、OSコマンドインジェクションの手口です。 2：× 特定のPCに大量の接続要求を送って通信機能を停止させるのは、DoS（Denial of Service）攻撃の手口です。 3：× サービスポートに順次アクセスして、稼働中のサービスや弱点を探るのは、ポートスキャンの手口です。 4：○ スクリプトを閲覧者のブラウザ経由で脆弱なWebサイトに送り込み、閲覧者のブラウザ上で実行させるのは、クロスサイトスクリプティングの手口です。 【ポイント】 XSSの対策は、Webページに出力する文字列の中の「<」「>」などの特殊文字を無害な文字に置き換えるエスケープ処理です。 「スクリプトが実行されるのは閲覧者のブラウザ」という点が、サーバ側で不正操作が起きるOSコマンドインジェクションとの違いです。