平成25年度秋期 情報処理安全確保支援士 午前Ⅰ 問15

午前I 問15：XSSは“ページに仕込まれたいたずらメモ”をブラウザに読ませる攻撃だよ

XSSは、入力欄や表示内容にこっそりスクリプトを混ぜておき、それを見た利用者のブラウザで実行させる攻撃だよ。たとえるなら、掲示板に普通のメッセージのふりをして“読むと勝手に動く命令メモ”を貼っておくようなもの。サーバに侵入して壊す攻撃ではなく、Webページを通じて利用者側のブラウザにスクリプトを実行させるところがポイントだよ。

この問題で問われていること

この問題では、クロスサイトスクリプティングの本質を見抜けるかが問われているよ。サーバを書き換える攻撃や、SQL文を悪用してデータベースを操作するSQLインジェクションとは別物として、“利用者のブラウザでスクリプトを動かす攻撃”だと整理しよう。

Recognizing Cross-Site Scripting

cross-site scripting works by injecting malicious script into a page so that another user's browser executes it when the page is viewed

inject script into web content\nscript runs in the viewer's browser\nsteal or tamper on the client side\nnot the same as SQL injection

確認ポイント

• スクリプトを埋め込む攻撃だと押さえる。
• 実行されるのは利用者ブラウザ側です。
• SQL インジェクションと混同しない。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これは正解だよ。入力欄に悪意あるJavaScriptを混ぜるのは、窓口に普通の申込書を出すふりをして、こっそり危ない命令を書き込むようなものだよ。Webアプリがそれをそのままページに出してしまうと、利用者のブラウザで命令が動いてしまうんだ。これがクロスサイトスクリプティングだよ。

選択肢イ

これは不正解だよ。これはサーバへ勝手に侵入してデータを書き換えるような話で、家に泥棒が入って家具を壊すイメージだね。クロスサイトスクリプティングのように、入力欄へスクリプトを混ぜて利用者のブラウザで動かす攻撃とは別物だよ。

選択肢ウ

これは不正解だよ。大量のデータで用意された領域をあふれさせるのは、コップに水を入れすぎてこぼすようなイメージで、バッファオーバーフロー攻撃の説明だよ。JavaScriptを入力欄に仕込む攻撃とは狙いも仕組みも違うんだ。

選択肢エ

これは不正解だよ。パス名を推定して本来見られないページへ直接行くのは、受付を通らずに建物内の部屋番号を当てて入ろうとするような話だね。これはURLやパスの管理・認可の不備を突く攻撃で、入力欄にスクリプトを混ぜるクロスサイトスクリプティングとは違うよ。