平成30年度春期 データベーススペシャリスト 午前Ⅰ 問12

攻撃手法を整理する着眼点

Webアプリケーションの攻撃を考えるときは、名称の印象だけで判断せず、どの処理や境界に対して、どの段階で、どのような影響を与えようとしているかという観点で整理しましょう。

この問題で問われていること

この問題では、各記述が示す対象を個別に覚えるよりも、攻撃が向けられる場所と成立する状況に注目し、入力・処理・応答のどの局面の説明なのかを読み分けることに集中してください。

視点

技術名や表現の一部に反応せず、対象となる機能、関与するデータの流れ、想定される影響という共通の観点で記述を整理すると、比較の軸を保ちやすくなります。

確認ポイント

• 攻撃対象として説明されている機能や境界を確認する
• 入力から結果に至る処理のどの局面を指しているかを確認する
• 記述されている影響の種類と、前の二点との対応を確認する

正解

ア

解説

クロスサイトスクリプティングは、Webアプリケーションを介して悪意のあるスクリプトを利用者のブラウザで実行させる攻撃です。入力値が適切に処理されず、スクリプトとして解釈される点が本質です。

理由

正答はアです。Webアプリケーションの入力欄などにスクリプトを含むデータを入力し、それが適切に無害化されずにページへ出力されると、利用者のブラウザで悪意のあるJavaScriptが実行されることがあります。これがクロスサイトスクリプティングです。

比較

イは不正アクセスやデータの改ざん・破壊、ウはバッファオーバフロー、エは認証を回避して直接アクセスする手法に該当します。いずれも、Webページにスクリプトを混入してブラウザで実行させるクロスサイトスクリプティングとは異なります。

選択肢ア（正解）

これは正解だよ。Webアプリケーションのフォーム入力に悪意のあるJavaScriptコードを含むデータを入力し、そのデータが適切に処理されないままWebページへ出力されると、利用者のブラウザでスクリプトが実行されることがある。この仕組みがクロスサイトスクリプティングである。

選択肢イ

これは不正解だよ。インターネットなどのネットワークを通じてサーバに不正にアクセスし、データの改ざんや破壊を行う説明は、不正アクセスやサーバへの侵入に関する行為である。ブラウザ上で悪意のあるスクリプトを実行させるクロスサイトスクリプティングの説明ではない。

選択肢ウ

これは不正解だよ。大量のデータをWebアプリケーションに送って用意されたバッファ領域をあふれさせる攻撃は、バッファオーバフローである。メモリ領域の境界を越えて処理に影響を与える手法であり、入力データをブラウザ上のスクリプトとして実行させる攻撃とは異なる。

選択肢エ

これは不正解だよ。パス名を推定し、本来は認証後にだけ許可されるページへ直接ジャンプする行為は、認証機能やアクセス制御の不備を突く攻撃である。Webページにスクリプトを混入し、利用者のブラウザで実行させる手口ではない。

学習のポイント

入力値の無害化と、ブラウザ上でのスクリプト実行の関係を理解する。