応用情報技術者試験 応用情報技術者試験 平成30年度春期 午前 問37: クロスサイトスクリプティングの手口はどれか。

正解

ア. Web アプリケーションのフォームの入力フィールドに，悪意のある JavaScript コードを含んだデータを入力する。

正答率 80.9%（1,215人中 983人が正解）

問題の解説

クロスサイトスクリプティング(XSS)は、入力内容をそのままWebページに表示してしまう脆弱性を悪用し、フォームなどに悪意のあるスクリプト(JavaScriptコード)を含むデータを入力して、それを閲覧した別の利用者のブラウザ上で実行させる攻撃である。これを述べたアが正解。対策はサニタイジング(無害化、エスケープ処理)。

選択肢ごとの解説

• ア入力フィールドに悪意のあるJavaScriptコードを入力し、他の利用者のブラウザで実行させるというXSSの手口として正しい。
• イネットワーク経由でサーバに不正アクセスし改ざん・破壊する行為は不正アクセス全般の説明であり、XSS特有の手口ではない。
• ウ大量データでバッファ領域をあふれさせるのはバッファオーバフロー攻撃の説明であり、XSSではない。
• エパス名を推測して認証後のページへ直接ジャンプするのは強制ブラウジング(ディレクトリ/ファイルの不正参照)に関する手口であり、XSSではない。