クロスサイトスクリプティングとは、Webサイトの脆弱性を利用した攻撃である。クロスサイトスクリプティングに関する記述として、適切なものはどれか。

選択肢

• アWebページに、ユーザの入力データをそのまま表示するフォーム又は処理があるとき、第三者が悪意あるスクリプトを埋め込むことでクッキーなどのデータを盗み出す。
• イサーバとクライアント間の正規のセッションに割り込んで、正規のクライアントに成りすますことで、サーバ内のデータを盗み出す。
• ウデータベースに連携しているWebページのユーザ入力領域に悪意あるSQLコマンドを埋め込み、サーバ内のデータを盗み出す。
• エ電子メールを介して偽のWebサイトに誘導し、個人情報を盗み出す。

正解と解説

正解：ア Webページに、ユーザの入力データをそのまま表示するフォーム又は処理があるとき、第三者が悪意あるスクリプトを埋め込むことでクッキーなどのデータを盗み出す。

クロスサイトスクリプティングは、入力された文字列をそのまま画面に出力してしまうWebページの脆弱性を突き、攻撃者が用意したスクリプトを閲覧者のブラウザ上で実行させる攻撃である。これによりクッキーに保存されたセッション情報などが盗まれる。対策は出力時のエスケープ処理である。

選択肢ごとの解説

• ア入力データをそのまま表示する脆弱性を突いてスクリプトを実行させる。これが正しい。
• イ通信に割り込んで成りすますセッションハイジャックの説明である。
• ウ入力欄に不正なSQLを埋め込むSQLインジェクションの説明である。
• エ偽サイトへ誘導して情報を盗むフィッシングの説明である。

同じ分野の他の問題

• 機密情報の取得などを目的として、特定の組織や個人に対して、複数の攻撃手法を使うなどして長期間にわたり継続的に攻撃を行うと…2026年度 秋期 問96
• Webサービスを狙った攻撃に関する記述と攻撃の名称の適切な組合せはどれか。 a Webサービスが利用しているソフトウェア…2025年度 秋期 問73
• 正しいURLを指定してインターネット上のWebサイトへアクセスしようとした利用者が、偽装されたWebサイトに接続されてし…2024年度 秋期 問100
• ランサムウェアに関する記述として、最も適切なものはどれか。2024年度 秋期 問98
• 通常の検索エンジンでは検索されず匿名性が高いので、サイバー攻撃や違法商品の取引などにも利用されることがあり、アクセスする…2024年度 秋期 問87