問84
頻出度★★★
クロスサイトスクリプティングに関する記述として, 適切なものはどれか。
平成27年度 春期 ITパスポート試験 問84
テクノロジ系セキュリティ › 情報セキュリティ
这道题的解析和你的作答记录。
解説
問 84
- ア
正解 跨站脚本（XSS）是针对留言板、搜索表单等会把用户输入原样输出到网页上的网站，利用其漏洞发起的攻击。攻击者在输入数据中混入脚本（例如 script 标签）后，网站运营者并不期望的脚本就会混杂在输出中，被发送到浏览者的浏览器并在那里执行。其结果是造成 Cookie（会话 ID）被窃取、显示伪造的输入表单等危害。受到攻击危害的不是服务器，而是浏览该页面的用户的浏览器一侧，这一点是其特征，因此如此描述的 ア 为正确答案。对策是对输入值进行校验，以及在输出时进行转义处理（净化，sanitizing）。
错误イ
在输入项中嵌入操作系统（OS）的操作命令并发送给 Web 服务器，使该命令在服务器上被执行从而非法操控服务器的，是 OS 命令注入（操作系统命令注入）的说明。其目标是 Web 服务器（操作系统）本身，与让脚本在用户浏览器中执行的 XSS 是不同的攻击。
错误ウ
恶意利用用户在多个网站重复使用相同 ID 和密码的习惯，用在某处泄露的认证信息尝试登录其他网站的，是密码列表攻击（列表型攻击）的说明，与嵌入脚本无关。
错误エ
佯装成有用的软件，诱使用户安装恶意程序，从而入侵用户计算机的，是特洛伊木马的说明。这是让用户自己安装恶意软件的手法，与利用网页输出漏洞的 XSS 不同。
ここがポイント
- 跨站脚本是利用会把用户输入原样输出的网站的漏洞，把运营者并不期望的脚本送入浏览者的浏览器并使其执行的攻击。对策是校验输入值，并在输出时进行转义（净化）。
- 与易混淆攻击手法的区分：OS 命令注入＝在 Web 服务器上非法执行操作系统命令；密码列表攻击＝滥用 ID／密码的重复使用；特洛伊木马＝伪装成有用软件的恶意软件。
用語