ITパスポート試験 ITパスポート 2012年 (平成24年 春期) 問77: クロスサイトスクリプティングとは,Webサイトの脆弱性を利用した攻撃である。クロスサイトスクリプティングに関する記述として,適切なものはどれか。

正解

ア. Webページに,ユーザの入力データをそのまま表示するフォーム又は処理があるとき,第三者が悪意あるスクリプトを埋め込むことでクッキーなどのデータを盗み出す。

正答率 55.3%（1,187人中 657人が正解）

問題の解説

クロスサイトスクリプティング(XSS)は、利用者の入力をそのままページに表示するようなWebサイトの欠陥を突き、攻撃者が悪意あるスクリプトを埋め込む攻撃である。そのページを開いた閲覧者のブラウザ上でスクリプトが実行され、クッキーなどの情報が盗まれる。対策は、入力値や出力値をエスケープして無害化することである。

選択肢ごとの解説

• ア正しい。入力データをそのまま表示する処理の欠陥を突いて悪意あるスクリプトを埋め込み、クッキーなどを盗む攻撃を指す。
• イ正規のセッションに割り込んで、クライアントになりすますのは、セッションハイジャックである。
• ウ入力領域に悪意あるSQLコマンドを埋め込んでデータを盗み出すのは、SQLインジェクションである。
• エ電子メールで偽のWebサイトに誘導し、個人情報を盗み出すのは、フィッシングである。