クロスサイトスクリプティングに該当するものはどれか。

選択肢

• アWebアプリケーションのデータ操作言語の呼出し方に不備がある場合に、攻撃者が悪意をもって構成した文字列を入力することによって、データベースのデータの不正な取得、改ざん及び削除を可能とする。
• イWebサイトに対して、他のサイトを介して大量のパケットを送り付け、そのネットワークトラフィックを異常に高めてサービスを提供不能にする。
• ウ確保されているメモリ空間の下限又は上限を超えてデータの書込みと読出しを行うことによって、プログラムを異常終了させたりデータエリアに挿入された不正なコードを実行させたりする。
• エ攻撃者が罠を仕掛けたWebページを利用者が閲覧し、当該ページ内のリンクをクリックしたときに、不正スクリプトを含む文字列が脆弱なWebサーバに送り込まれ、レスポンスに埋め込まれた不正スクリプトの実行によって、情報漏えいをもたらす。

正解と解説

正解：エ 攻撃者が罠を仕掛けたWebページを利用者が閲覧し、当該ページ内のリンクをクリックしたときに、不正スクリプトを含む文字列が脆弱なWebサーバに送り込まれ、レスポンスに埋め込まれた不正スクリプトの実行によって、情報漏えいをもたらす。

クロスサイトスクリプティングは、Webアプリケーションが利用者からの入力を適切にエスケープせずに応答へ埋め込んでしまう脆弱性を突く攻撃である。攻撃者が仕込んだスクリプトが被害者のブラウザ上で実行され、クッキーの窃取などの被害につながる。

選択肢ごとの解説

• アSQL文の組立ての不備を突く攻撃はSQLインジェクションである。
• イ他サイトを経由した大量パケットでサービスを止めるのはDDoS（リフレクション攻撃など）である。
• ウ確保した領域を超える読み書きはバッファオーバフローの説明である。
• エ正しい。脆弱なサイトの応答に不正スクリプトが埋め込まれ、閲覧者のブラウザで実行されるのがXSSである。

同じ分野の他の問題

• Webアプリケーションにおけるセキュリティ上の脅威とその対策に関する記述のうち，適切なものはどれか。2023年度 公開問題 科目A・B 問7
• SEOポイズニングの説明はどれか。2022年度 公開問題 科目A・B 問19
• ドライブバイダウンロード攻撃に該当するものはどれか。2018年度 春期 午前 問21
• ディレクトリトラバーサル攻撃に該当するものはどれか。2017年度 春期 午前 問23
• クロスサイトスクリプティングの手口はどれか。2016年度 秋期 午前 問22