応用情報技術者試験 応用情報技術者試験 平成30年度秋期 午前 問41: クロスサイトスクリプティング対策に該当するものはどれか。

正解

ウ. Web ページに入力されたデータの出力データが，HTML タグとして解釈されないように処理する。

正答率 53.0%（330人中 175人が正解）

問題の解説

クロスサイトスクリプティング（XSS）は、Web ページに入力された値が、スクリプトを含んだまま画面に出力され、利用者のブラウザで実行されてしまう脆弱性を突く攻撃である。対策は、出力するときに HTML の特殊文字（山括弧や引用符など）をエスケープ処理して、入力データが HTML タグやスクリプトとして解釈されないようにすることである。

選択肢ごとの解説

• アSNMP エージェントは、機器の状態を管理・監視するための仕組みであり、XSS の攻撃を検知したり防いだりするものではない。
• イOS のセキュリティパッチは、OS の脆弱性への対策であり、Web アプリケーションの出力処理の不備で生じる XSS は防げない。
• ウ正しい。出力データの特殊文字をエスケープすれば、入力されたスクリプトがタグとして解釈されず、実行されない。
• エ許容量を超えるデータの入力を禁止するのは、バッファオーバフロー攻撃への対策である。