ITパスポート試験 ITパスポート 2012年 (平成24年 秋期) 問60: クロスサイトスクリプティングの特徴に関する記述として,適切なものはどれか。

正解

ア. Webサイトに入力されたデータに含まれる悪意あるスクリプトを,そのままWebブラウザに送ってしまうという脆弱性を利用する。

正答率 64.3%（1,136人中 730人が正解）

問題の解説

クロスサイトスクリプティングは、入力内容をそのまま画面に出力してしまうWebアプリケーションの脆弱性を突き、利用者のブラウザ上で悪意あるスクリプトを実行させる攻撃である。Cookieの盗用や偽の画面の表示などに悪用される。対策は、出力時に特殊文字を無害な表記へ置き換えること(エスケープ処理)などである。

選択肢ごとの解説

• ア正しい。入力に紛れ込ませた悪意あるスクリプトがそのままブラウザに返され、利用者側で実行される脆弱性を突く攻撃である。
• イ入力長の検査漏れを突いて、メモリの領域をあふれさせるバッファオーバフロー攻撃の説明である。
• ウ有用なソフトに見せかけて利用者にインストールさせ、侵入するのはトロイの木馬の説明である。
• エ文書作成ソフトや表計算ソフトのマクロ機能を悪用するマクロウイルスの説明である。