情報処理安全確保支援士試験 情報処理安全確保支援士試験 平成30年度春期 午前Ⅰ 問12: クロスサイトスクリプティングの手口はどれか。

正解

ア. Webアプリケーションのフォームの入力フィールドに，悪意のあるJavaScriptコードを含んだデータを入力する。

問題の解説

クロスサイトスクリプティング(XSS)は、入力値を適切にエスケープしない脆弱なWebアプリに悪意のスクリプトを注入し、それを別の利用者のブラウザ上で実行させる攻撃。入力フィールドに悪意のJavaScriptを入れるアが手口として正解。Cookie窃取やなりすましにつながり、対策は出力時のエスケープやCSP導入が基本。

選択肢ごとの解説

• ア入力フィールドに悪意のJavaScriptを注入する記述がXSSの手口そのもので正解。
• イサーバへの不正アクセスや改ざん全般の説明で、XSS特有の手口ではなく誤り。
• ウ大量データでバッファをあふれさせるのはバッファオーバーフローの説明で誤り。
• エパス名推定で認証後ページへ直接ジャンプするのは強制ブラウジング等の説明で誤り。