クロスサイトスクリプティングの手口はどれか。

選択肢

• アWebアプリケーションに用意された入力フィールドに、悪意のあるJavaScriptコードを含んだデータを入力する。
• イインターネットなどのネットワークを通じてサーバに不正にアクセスしたり、データの改ざんや破壊を行ったりする。
• ウ大量のデータをWebアプリケーションに送ることによって、用意されたバッファ領域をあふれさせる。
• エパス名を推定することによって、本来は認証された後にしかアクセスが許可されないページに直接ジャンプする。

正解と解説

正解：ア Webアプリケーションに用意された入力フィールドに、悪意のあるJavaScriptコードを含んだデータを入力する。

クロスサイトスクリプティング（XSS）は、利用者の入力をそのままWebページに出力してしまう脆弱性を突き、悪意のあるスクリプトを他の利用者のブラウザ上で実行させる攻撃である。これによりCookieの窃取や偽の入力画面の表示が可能になる。対策は、出力時に「<」などをエスケープするサニタイジングであり、入力を信用せず出力の文脈に応じて無害化することが要点である。

選択肢ごとの解説

• ア正しい。入力欄に悪意あるスクリプトを埋め込み、閲覧者のブラウザで実行させるのがXSSである。
• イ不正アクセスや改ざん一般の記述であり、XSS固有の手口を表していない。
• ウバッファオーバフロー攻撃の説明で、確保領域を超えるデータで制御を奪う手口である。
• エ強制ブラウジング（ディレクトリトラバーサル等）の説明で、URLの直接指定による不正閲覧である。

同じ分野の他の問題

• Webアプリケーションにおけるセキュリティ上の脅威とその対策に関する記述のうち，適切なものはどれか。2023年度 公開問題 科目A・B 問7
• SEOポイズニングの説明はどれか。2022年度 公開問題 科目A・B 問19
• ドライブバイダウンロード攻撃に該当するものはどれか。2018年度 春期 午前 問21
• ディレクトリトラバーサル攻撃に該当するものはどれか。2017年度 春期 午前 問23
• ドライブバイダウンロード攻撃の説明はどれか。2016年度 春期 午前 問25