クロスサイトスクリプティングに関する記述として、適切なものはどれか。

選択肢

• アWebサイトの運営者が意図しないスクリプトを含むデータであっても、利用者のブラウザに送ってしまう脆弱性を利用する。
• イWebページの入力項目にOSの操作コマンドを埋め込んでWebサーバに送信し、サーバを不正に操作する。
• ウ複数のWebサイトに対して、ログインIDとパスワードを同じものに設定するという利用者の習性を悪用する。
• エ利用者に有用なソフトウェアと見せかけて、悪意のあるソフトウェアをインストールさせ、利用者のコンピュータに侵入する。

正解と解説

正解：ア Webサイトの運営者が意図しないスクリプトを含むデータであっても、利用者のブラウザに送ってしまう脆弱性を利用する。

クロスサイトスクリプティングは、利用者の入力をそのままWebページに表示してしまうサイトの弱点を突き、悪意あるスクリプトを別の利用者のブラウザ上で実行させる攻撃である。これによりCookieの盗み出しや偽の入力画面の表示などが起こる。OSコマンドの注入やパスワードの使い回しを狙う攻撃、正体を偽るソフトとは仕組みが異なる。

選択肢ごとの解説

• ア正解。入力を検査せずに出力してしまう弱点を突き、利用者のブラウザでスクリプトを実行させる。
• イOSのコマンドを注入して不正操作するOSコマンドインジェクションの説明。
• ウIDとパスワードの使い回しを突くパスワードリスト攻撃の説明。
• エ有用なソフトに見せかけて侵入するトロイの木馬の説明。

同じ分野の他の問題

• 機密情報の取得などを目的として、特定の組織や個人に対して、複数の攻撃手法を使うなどして長期間にわたり継続的に攻撃を行うと…2026年度 秋期 問96
• Webサービスを狙った攻撃に関する記述と攻撃の名称の適切な組合せはどれか。 a Webサービスが利用しているソフトウェア…2025年度 秋期 問73
• 正しいURLを指定してインターネット上のWebサイトへアクセスしようとした利用者が、偽装されたWebサイトに接続されてし…2024年度 秋期 問100
• ランサムウェアに関する記述として、最も適切なものはどれか。2024年度 秋期 問98
• 通常の検索エンジンでは検索されず匿名性が高いので、サイバー攻撃や違法商品の取引などにも利用されることがあり、アクセスする…2024年度 秋期 問87