問77
頻出度★★★
クロスサイトスクリプティングとは, Web サイトの脆弱性を利用した攻撃である。 クロスサイトスクリプティングに関する記述として, 適切なものはどれか。
平成24年度 春期 ITパスポート試験 問77
テクノロジ系セキュリティ › 情報セキュリティ
这道题的解析和你的作答记录。
解説
問 77
- ア
正解 正确答案是ア。跨站脚本（XSS）是一种利用“输出时转义处理不完善”这一漏洞的攻击，即网站把用户输入的字符串原样输出到网页上。攻击者会在留言板的投稿栏、搜索表单、确认页面等位置混入含有 script 标签的恶意脚本。该脚本会作为网站生成的 HTML 的一部分送达受害者的浏览器，并在受害者的浏览器上作为“该网站的脚本”被执行。其结果是，针对同一网站签发的 Cookie（其中含有会话 ID 等）被发送到攻击者的服务器，进而导致身份冒充和个人信息被窃取。ア的描述准确地说明了“当网页中存在直接显示用户输入数据的表单或处理时”这一发生条件，以及“第三者通过植入恶意脚本来窃取 Cookie 等数据”这一受害形式。另外，受害的主要是网站的使用者（浏览者）一方，对策是对输入值进行校验，以及在输出时对 HTML 特殊字符做无害化的转义处理。
错误イ
这是对会话劫持的说明，并不是 XSS 本身。它指的是攻击者插入服务器与客户端之间已经建立的正规会话，推测或盗用会话 ID，从而冒充正规使用者的攻击。由于其中不包含“把脚本植入网页、让它在浏览者的浏览器上执行”这一 XSS 的本质机制，所以是错误的。XSS 可以成为窃取会话 ID 的“手段”，但两者属于不同的攻击分类。
错误ウ
这是对 SQL 注入的说明。它是指在与数据库联动的网页的输入栏中注入恶意的 SQL 语句，篡改应用程序拼装出的 SQL，从而非法读写服务器端数据库的攻击。被植入的不是脚本而是 SQL 命令，执行的场所也不是浏览者的浏览器而是服务器端的数据库，这两点与 XSS 不同。
错误エ
这是对网络钓鱼的说明。它是指通过电子邮件等方式把用户诱导到与真站点极为相似的伪造网站，让使用者自己输入 ID、密码或信用卡号，从而骗取这些信息的攻击。它并不是利用正规网站的漏洞，而是以诱使使用者产生误解的“欺骗”手法为核心，其中没有植入恶意脚本这一要素，因此不属于 XSS。
ここがポイント
- 跨站脚本（XSS）的定义：利用网站把输入值原样输出这一漏洞，让恶意脚本在浏览者的浏览器上执行，从而窃取 Cookie 等数据的攻击。对策是对输入值进行校验，以及在输出时进行转义处理（无害化处理，sanitizing）。
- 相似 Web 攻击的辨析：XSS（植入脚本并在浏览者的浏览器上执行）、SQL 注入（注入 SQL 语句非法操作服务器的数据库）、会话劫持（劫持正规会话进行冒充）、网络钓鱼（诱导到伪造网站骗取信息），可按“植入什么”“在哪里执行”“谁受害”这三点来区分。
用語