修了試験 2026-06-14実施分 基本情報技術者試験 問33

解説

正解は3です。 クロスサイトスクリプティング（XSS：Cross Site Scripting）は、Webページに入力された悪意のあるスクリプトが、そのまま出力されて利用者のブラウザで実行されてしまう攻撃です。 出力時に、入力値がHTMLタグやスクリプトとして解釈されないようにすることが対策になります。 【選択肢別解説】 1：× SNMPエージェントは、機器の状態を管理装置に知らせるための仕組みです。 XSS攻撃を検知する機能はありません。 2：× XSSはWebアプリケーションの出力処理の不備による脆弱性です。 OSにセキュリティパッチを適用しても、アプリケーションの不備は解消されません。 3：○ 「<」や「>」などの特別な意味をもつ文字を、「&lt;」「&gt;」のような文字参照に置き換えて出力すると（エスケープ処理）、入力値はHTMLタグとして解釈されません。 これがXSSの代表的な対策です。 4：× 許容量を超えるデータの入力を禁止するのは、バッファオーバーフロー攻撃への対策です。 短いスクリプトでもXSSは成立するので、対策になりません。 【ポイント】 XSSの基本対策は、出力時のエスケープ処理です。 SQLインジェクションの対策がプレースホルダ、バッファオーバーフローの対策が入力長のチェックであることとあわせて覚えましょう。