問84
頻出度★★★
クロスサイトスクリプティングに関する記述として, 適切なものはどれか。
平成27年度 春期 ITパスポート試験 問84
テクノロジ系セキュリティ › 情報セキュリティ
この問題の解説と、これまでの解答の記録です。
解説
問 84
- ア
正解 クロスサイトスクリプティング(XSS)は、掲示板や検索フォームなど利用者の入力をそのままWebページに出力するサイトの脆弱性を突く攻撃である。攻撃者が入力データにスクリプト(例えば script タグ)を紛れ込ませると、サイト運営者が意図していないスクリプトが出力に混ざったまま、閲覧者のブラウザへ送られて実行されてしまう。その結果、クッキー(セッションID)の盗取や偽の入力フォーム表示などの被害が生じる。攻撃の被害を受けるのはサーバではなく、そのページを閲覧した利用者のブラウザ側である点が特徴で、これを述べたアが正解である。対策は入力値の検証と出力時のエスケープ処理(サニタイジング)である。
不正解イ
入力項目にOSの操作コマンドを埋め込んでWebサーバに送信し、サーバ上でそのコマンドを実行させて不正に操作するのはOSコマンドインジェクションの説明である。狙われるのはWebサーバ(OS)そのものであり、利用者のブラウザでスクリプトを実行させるXSSとは別の攻撃である。
不正解ウ
複数のサイトで同じIDとパスワードを使い回す習性を悪用し、どこかで漏えいした認証情報で他サイトへのログインを試みるのはパスワードリスト攻撃(リスト型攻撃)の説明であり、スクリプトの埋め込みとは無関係である。
不正解エ
有用なソフトウェアに見せかけて悪意のあるプログラムを導入させ、利用者のコンピュータに侵入するのはトロイの木馬の説明である。マルウェアを利用者自身にインストールさせる手口であり、Webページ出力の脆弱性を突くXSSとは異なる。
ここがポイント
- クロスサイトスクリプティングは、利用者の入力をそのまま出力するWebサイトの脆弱性を突き、運営者が意図しないスクリプトを閲覧者のブラウザに送り込んで実行させる攻撃。対策は入力値の検証と出力時のエスケープ(サニタイジング)。
- 紛らわしい攻撃手法との区別: OSコマンドインジェクション=Webサーバ上でOSコマンドを不正に実行、パスワードリスト攻撃=ID/パスワード使い回しの悪用、トロイの木馬=有用なソフトに偽装したマルウェア。
用語