問91
頻出度★★★
クロスサイトスクリプティングなどの攻撃で, Cookie が漏えいすることによって受ける被害の例はどれか。
平成29年度 秋期 ITパスポート試験 問91
テクノロジ系セキュリティ › 情報セキュリティ
这道题的解析和你的作答记录。
解説
問 91
错误ア
PC 感染病毒是通过下载或运行恶意程序等其他途径造成的损害，仅仅泄露 Cookie（用于与 Web 服务交互的认证信息）并不会导致 PC 感染病毒。
错误イ
PC 内的文件被发送到外部，是在因恶意软件感染等原因导致 PC 内部文件被访问时才会发生的损害。Cookie 只是浏览器与 Web 服务器之间处理的信息，即使泄露也不会直接导致 PC 内的本地文件被发送。
- ウ
正解 Cookie 中往往保存着诸如表示已登录 Web 服务的会话 ID 等用于维持认证状态的信息。当通过跨站脚本（XSS）注入的恶意脚本从用户浏览器中窃取 Cookie 并发送给攻击者后，攻击者只需把该 Cookie（会话 ID）设置到自己的浏览器中，就能冒充正规用户、重现已登录的状态（会话劫持）。其结果是，即使不是用户本人也能操作该 Web 服务的账户，因此「Web 服务的账户被劫持」是 Cookie 泄露所导致的损害示例中正确的一项。所以正确答案是ウ。
错误エ
通过无线 LAN 入侵网络，是针对无线 LAN 加密方式的漏洞或破解密码等瞄准网络侧的其他攻击所造成的损害，与作为 Web 服务认证信息的 Cookie 的泄露无关。
ここがポイント
- Cookie 中往往保存着会话 ID 等认证信息，一旦通过 XSS 等方式泄露，攻击者就能冒充用户，进而导致会话劫持（账户被劫持）的损害。
- 按攻击对象区分损害的种类：Cookie 泄露瞄准的是「Web 服务的账户」，与病毒感染、本地文件窃取、网络入侵在原因和对象上都不相同。
用語