ITパスポート試験 ITパスポート 2015年 (平成27年 春期) 問84: クロスサイトスクリプティングに関する記述として,適切なものはどれか。

正解

ア. Webサイトの運営者が意図しないスクリプトを含むデータであっても,利用者のブラウザに送ってしまう脆弱性を利用する。

正答率 65.8%（1,056人中 695人が正解）

問題の解説

クロスサイトスクリプティングは、Webサイトの脆弱性を突き、攻撃者が仕込んだスクリプトを含むデータをサイト経由で利用者のブラウザに送り込んで実行させる攻撃である。入力値のチェックや出力時のエスケープ処理が不十分だと起こり、Cookieの盗難や偽の画面表示などの被害につながる。

選択肢ごとの解説

• ア正しい。サイトが入力に含まれるスクリプトを無害化せずに出力すると、運営者の意図しないスクリプトが利用者のブラウザで実行される。
• イWebページの入力項目にOSのコマンドを埋め込んでサーバを操作する攻撃は、OSコマンドインジェクションである。
• ウ複数のサイトで同じIDとパスワードを使い回す習性を悪用するのは、パスワードリスト攻撃(リスト型アカウント攻撃)である。
• エ有用なソフトに見せかけて悪意のあるソフトをインストールさせるのは、トロイの木馬である。