情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成28年度春期 午前 問21: クロスサイトスクリプティングに該当するものはどれか。

正解

エ. 攻撃者が罠を仕掛けた Web ページを利用者が閲覧し，当該ページ内のリンクをクリックしたときに，不正スクリプトを含む文字列が脆弱な Web サーバに送り込まれ，レスポンスに埋め込まれた不正スクリプトの実行によって，情報漏えいをもたらす。

正答率 55.3%（94人中 52人が正解）

問題の解説

クロスサイトスクリプティング（XSS）は，入力値の検証が不十分な脆弱な Web サイトに不正なスクリプトを送り込み，それが応答ページに埋め込まれて利用者のブラウザ上で実行されることで情報漏えいなどを引き起こす攻撃である。罠ページ経由で不正スクリプトがレスポンスに埋め込まれ実行される過程を述べたエが正解である。

選択肢ごとの解説

• アデータ操作言語（SQL）の呼出し不備を突いてデータベースを不正操作する攻撃は SQL インジェクションの説明であり，XSS ではない。
• イ他サイトを介して大量パケットを送りサービスを提供不能にするのは DDoS（分散サービス妨害）攻撃の説明である。
• ウ確保したメモリ空間の境界を超える書込み・読出しでコードを実行させるのはバッファオーバフロー攻撃の説明である。
• エ不正スクリプトが脆弱な Web サーバの応答に埋め込まれブラウザ上で実行され情報漏えいを招くのが XSS であり，正しい。