クロスサイトスクリプティングとは？ITパスポート試験 2012年 (平成24年 秋期) 問60を解説

問題文

この問題の出題ポイント

• クロスサイトスクリプティングの定義だけでなく、問題文中の条件がどの選択肢に当てはまるかを確認する。
• テクノロジ系分野では、用語の目的・主体・責任範囲の違いが選択肢で問われやすい。
• 関連タグ: クロスサイトスクリプティング、XSS。

選択肢

1. アWebサイトに入力されたデータに含まれる悪意あるスクリプトを,そのままWebブラウザに送ってしまうという脆弱性を利用する。正解
2. イ入力されたデータの長さをチェックしていないWebサイト上のアプリケーションに対し,長すぎるデータを送りつける。
3. ウ有用なソフトウェアに見せかけて利用者にインストールさせ,コンピュータに侵入する。
4. エワープロソフトや表計算ソフトの操作手順を記録し,呼び出して実行する機能を不正に利用する。

解説

なぜ他の選択肢が違うのか

• ア（正解）

  正解.Webサイトへの入力に含まれる悪意あるスクリプトをそのままブラウザに送ってしまう脆弱性を利用するのがXSSの特徴.エスケープ処理の不備が原因で,Cookie盗取や偽ページ表示などの被害につながる典型的なWeb脆弱性.選択肢の特徴を理解すれば即答できる典型問題.

• イ

  入力長さチェックなしで長すぎるデータを送りつけて領域を溢れさせる攻撃はバッファオーバーフロー(BOF)攻撃.メモリ領域の破壊で任意コード実行を狙う攻撃で,XSSとはまったく別種の脆弱性悪用パターンとなる.設問の主題と異なる領域の概念で答えにならない.

• ウ

  有用なソフトウェアに見せかけて利用者にインストールさせ侵入するのはトロイの木馬(Trojan Horse).社会工学的に騙して導入させる攻撃でXSSとは手口が異なる.マルウェアの分類の一種で別の攻撃カテゴリ.用語の定義を取り違えやすい紛らわしい選択肢.

• エ

  ワープロ・表計算ソフトのマクロ機能を不正利用するのはマクロウイルス.Office文書のマクロに悪意あるコードを仕込んで自動実行させる感染型マルウェアで,Web脆弱性を狙うXSSとは攻撃の場が異なる別種類の攻撃.対象や目的が設問の条件と異なるため不適切.

解き方の整理

クロスサイトスクリプティングの問題では、選択肢のキーワードだけで判断せず、問題文が示す条件と正解選択肢の説明が一致しているかを見ます。誤答選択肢は、似た用語を混ぜる、主体を入れ替える、目的や範囲を広げすぎる、という形で作られることが多いため、選択肢別解説まで確認しておくと復習効率が上がります。

関連用語

• クロスサイトスクリプティングセキュリティ

関連問題

前後の問題

2012年 (平成24年 秋期) の関連する問題

2012年 (平成24年 秋期)の問題一覧 ITパスポート試験の解説一覧