平成24年度 秋期 ITパスポート試験 問60

正解 正解は ア。クロスサイトスクリプティング (XSS) は、利用者が入力した文字列をそのまま HTML として画面に埋め込んで返してしまう Web アプリケーションの脆弱性を突く攻撃である。掲示板の投稿欄、検索キーワード欄、入力内容の確認画面、エラーメッセージなど、入力値を画面に出力する箇所が狙われる。攻撃者は、その入力欄に通常の文字列ではなく <script> タグなどを含んだスクリプト片を仕込む。サイト側が山括弧などの特殊文字をエスケープ (無害化) せずに出力すると、そのスクリプトは単なる文字ではなくプログラムとして被害者の Web ブラウザに届き、そのサイトのページの一部として実行されてしまう。実行されたスクリプトは、そのサイトの権限で動くため、利用者のクッキーに保存されたセッション ID を盗んで攻撃者に送信する (なりすまし・セッションハイジャック)、偽の入力フォームを表示して ID やパスワード、クレジットカード番号を入力させる、ページを改ざんして別のサイトへ誘導するといった被害を生む。攻撃者のスクリプトが、罠のサイトや細工したリンクを経由して別のサイト (クロスサイト) 上で実行されるところから、この名前が付いている。したがって「Web サイトに入力されたデータに含まれる悪意あるスクリプトを、そのまま Web ブラウザに送ってしまうという脆弱性を利用する」と述べた ア が適切である。なお対策の中心は、出力時のエスケープ処理 (サニタイジング) を確実に行うことであり、入力値の検証や WAF の導入も併用される。