SC情報処理安全確保支援士試験午後Ⅰ

平成24年度春期情報処理安全確保支援士午後Ⅰ 問1

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

Webアプリケーションの脆弱性検査の指摘事項に対する正しい対応策を問う。エスケープ処理では，出力する文脈に合わせた処理を行う必要がある。本問では，特に，スクリプトを動的に生成する場合のセキュアプログラミングに関する知識を問う。

解き方のヒントを見る

問01：エスケープは“置き場所”ごとに着替えよう

HTMLの本文、JavaScriptの文字列、URLの中では、必要なエスケープのルールがそれぞれ違うよ。同じ荷物でも、電車・飛行機・宅配便で梱包の仕方が変わるイメージだね。特に、入力値を使って動的にスクリプトを作るときは要注意。バックスラッシュやシングルクォートの扱いを間違えると、文字列の外に飛び出して不正なスクリプトを実行される、つまりXSSにつながることがあるよ。

この問題で問われていること

この問題では、入力値をチェックするだけで安心せず、その値をどこに出力するのかに合わせて正しいエスケープを選べるかがポイントだよ。HTMLに出すのか、JavaScript文字列に入れるのか、URLに入れるのかで対策を切り替えよう。

Context-Aware Escaping

XSS defense in dynamically generated scripts requires context-aware escaping and detection of suspicious query strings in logs

HTML context\nJavaScript string context\nURL query context\nescape per context

確認ポイント

出力文脈ごとに処理を変える。
JavaScript 文字列内のエスケープを意識する。
危険なクエリ文字列をログで検知する。

正解と解説を見る

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p900000038er-att/2012h24h_sc_pm1_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p900000038er-att/2012h24h_sc_pm1_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p900000038er-att/2012h24h_sc_pm1_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。

出典：独立行政法人情報処理推進機構（IPA）平成24年度春期情報処理安全確保支援士試験午後Ⅰ 問1（公式資料：問題冊子（PDF）／解答例／採点講評）

平成24年度春期 情報処理安全確保支援士 午後Ⅰ 問1

問題