応用情報技術者試験 応用情報技術者試験 平成30年度春期 午前 問37: クロスサイトスクリプティングの手口はどれか。

正解

ア. Web アプリケーションのフォームの入力フィールドに，悪意のある JavaScript コードを含んだデータを入力する。

正答率 80.9%（1,216人中 984人が正解）

問題の解説

クロスサイトスクリプティング（XSS）は、入力値を適切に無害化せずに画面へ出力する Web アプリケーションの欠陥を突き、悪意のあるスクリプトを他の利用者のブラウザ上で実行させる攻撃である。入力フィールドに JavaScript を含む文字列を入力する手口が当たる。ほかの選択肢は、不正アクセス全般、バッファオーバフロー、強制ブラウジングの説明である。

選択肢ごとの解説

• ア正しい。入力に仕込んだスクリプトが、処理の不備により他の利用者のブラウザで実行される、XSS の典型的な手口である。
• イネットワーク経由でサーバへ不正にアクセスし、改ざんや破壊を行う不正アクセス全般の説明で、XSS という特定の手口ではない。
• ウ大量のデータでバッファ領域をあふれさせるのは、バッファオーバフロー攻撃である。
• エパス名を推測して、認証後にしか見られないページへ直接アクセスするのは、強制ブラウジングである。