格納型クロスサイトスクリプティング（Stored XSS又はPersistent XSS）攻撃に該当するものはどれか。

選択肢

• アWebサイト上の掲示板に攻撃用スクリプトを忍ばせた書込みを攻撃者が行うことによって、その後に当該掲示板を閲覧した利用者のWebブラウザで、攻撃用スクリプトが実行された。
• イWebブラウザへの応答を生成する処理に脆弱性のあるWebサイトに向けて、不正なJavaScriptコードを含むリクエストを送信するリンクを攻撃者が用意し、そのリンクを利用者がクリックするように仕向けた。
• ウ攻撃者が、乗っ取った複数のPC上でスクリプトを実行して大量のリクエストを攻撃対象のWebサイトに送り付け、攻撃対象のWebサイトをサービス不能状態にした。
• エ攻撃者がスクリプトを使って、送信元IPアドレスを攻撃対象のWebサイトのIPアドレスに偽装した大量のDNSリクエストを多数のDNSサーバに送信することによって、大量のDNSレスポンスが攻撃対象のWebサイトに送り付けられた。

正解と解説

正解：ア Webサイト上の掲示板に攻撃用スクリプトを忍ばせた書込みを攻撃者が行うことによって、その後に当該掲示板を閲覧した利用者のWebブラウザで、攻撃用スクリプトが実行された。

格納型（蓄積型）クロスサイトスクリプティングは、掲示板の投稿のようにサーバ側へ保存される内容に攻撃用スクリプトを仕込み、それを閲覧した不特定多数の利用者のブラウザ上でスクリプトを実行させる攻撃である。利用者に細工したリンクを踏ませる必要がないため、被害が広範囲に及びやすい。

選択肢ごとの解説

• ア正しい。保存された書込み内のスクリプトが閲覧者側で実行される格納型XSSである。
• イ細工したリンクを踏ませて即時に応答へ反映させるのは反射型XSSである。
• ウ多数のPCから大量リクエストを送ってサービス不能にするのはDDoS攻撃である。
• エ送信元を偽装してDNSレスポンスを集中させるのはDNSリフレクション攻撃である。

同じ分野の他の問題

• Webアプリケーションにおけるセキュリティ上の脅威とその対策に関する記述のうち、適切なものはどれか。2018年度 秋期 午前II 問25
• 格納型クロスサイトスクリプティング（Stored XSS又はPersistent XSS）攻撃に該当するものはどれか。2018年度 秋期 午前II 問23
• 安全なWebアプリケーションの作り方について、攻撃と対策の適切な組合せはどれか。2016年度 秋期 午前II 問24
• ある企業でのリスク分析結果は次のとおりであった。情報漏えい対策のうち，事象Cの年間発生確率が最も低くなるものはどれか。こ…2025年度 春期 午前II 問17
• A社は，各種のサービスを複数のWebサイトで提供している。現在，利用者は，Webサイトにログインするたびに，そのサイト用…2025年度 春期 午前II 問3