平成25年度秋期 システムアーキテクト 午前Ⅰ 問15

攻撃手法を見分けるための観点

各選択肢を覚えた呼び名だけで判断せず、攻撃が成立する対象と、利用される入力・処理・通信のどこに着目した説明なのかを整理して比較しましょう。表面的な結果だけでなく、起点となる箇所に注目します。

この問題で問われていること

一つの観点として、各説明が示す攻撃の主な対象を確認してください。利用者側、サーバ側、データの扱いなど、どの部分の弱点を前提にしているかを読み取り、名称ではなく説明の焦点を比べます。

視点

攻撃手法を整理するときは、何をきっかけに、どの対象へ影響を及ぼそうとしている説明なのかを読み取り、用語の印象と実際の説明を分けて考えます。

確認ポイント

• 攻撃の起点として説明されている箇所を確認する
• 影響を受ける対象がどこかを読み取る
• 名称ではなく説明全体の焦点を比較する

正解

ア

解説

クロスサイトスクリプティングは、Webアプリケーションの入力欄などにスクリプトを含むデータを入力し、それがWebページの一部として扱われることで、利用者のブラウザ上で実行される手口です。

理由

クロスサイトスクリプティング（XSS）は、入力フィールドなどから悪意のあるJavaScriptコードを含むデータを送り込み、Webアプリケーションがその内容を適切に無害化せずページへ反映することで成立する。結果として、ページを閲覧した利用者のブラウザ上でスクリプトが実行される危険がある。

比較

イはサーバへの不正アクセスやデータの改ざん・破壊に関する行為で、XSSの説明ではありません。ウはバッファ領域をあふれさせるバッファオーバーフローの手口です。エは認証前のページへ直接アクセスするURL推測などの問題であり、入力データにスクリプトを混入させるXSSとは異なる。

選択肢ア（正解）

これは正解だよ。入力フィールドに悪意のあるJavaScriptコードを含むデータを入力し、Webアプリケーションの処理やページへの反映を通じて、閲覧者のブラウザでスクリプトが解釈される危険を示している。これはクロスサイトスクリプティングの典型的な手口である。

選択肢イ

これは不正解だよ。ネットワーク経由でサーバへ不正アクセスし、データの改ざんや破壊を行う説明である。これはサーバへの侵入や情報資産への不正操作に関する行為であり、入力データにスクリプトを混入させてブラウザで実行させる攻撃とは異なる。

選択肢ウ

これは不正解だよ。大量のデータを送って用意されたバッファ領域をあふれさせる説明であり、バッファオーバーフローに該当する。メモリ領域の境界を超えて処理に影響を与える手口で、JavaScriptを入力欄へ埋め込むXSSとは攻撃対象と仕組みが異なる。

選択肢エ

これは不正解だよ。パス名を推定して、本来は認証後に限られるページへ直接アクセスする説明である。認証やアクセス制御の不備を突く手口であり、Webページへ悪意のあるJavaScriptを含む入力を反映させるクロスサイトスクリプティングとは異なる。

学習のポイント

入力データがWebページ内で命令として解釈される危険性を、他の攻撃手法と区別して覚える。