SC情報処理安全確保支援士試験午後Ⅰ

平成25年度秋期情報処理安全確保支援士午後Ⅰ 問1

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

クロスサイトスクリプティングは昔から広く知られる脆ぜい弱性であるが，対策漏れが発生しやすく，現在でも取り組むべき代表的脆弱性である。本問では，IPAが公表している“安全なウェブサイトの作り方”とその別冊として公表された“ウェブ健康診断仕様”を題材に，クロスサイトスクリプティング対策として行うべき実施項目と検査基準に関して出題した。Webアプリケーション開発での脆弱性への対応能力について問う。

解き方のヒントを見る

問01：XSS対策は「入口」と「出口」をセットで見よう

安全なWebサイト作りでは、ユーザーが入れた値がどの画面のどこに表示されるかを、荷物の配送ルートみたいに追いかけるのが大事だよ。そのうえで、画面ごとに危ない表示のされ方が残っていないか、健康診断仕様に沿って一つずつ確認しよう。

この問題で問われていること

反射型XSSは、入力チェックを1回やって終わりでは不十分だよ。どんなURL形式なら受け付けてよいのか、その値がHTMLや属性などどこに出力されるのか、さらにどの検査項目で対策できていると判断するのかまで、具体的に考えられるかがポイントだよ。

XSS Inspection and Mitigation

cross-site scripting mitigation requires allow-listing safe URLs、 checking both GET and POST parameters、 and applying output escaping at every response point

allow only http or https URLs\ncheck GET and POST parameters\napply escape at output points

確認ポイント

入力値の検証だけで終わらせない。
GET と POST の両方を確認する。
出力箇所ごとのエスケープ漏れを探す。

正解と解説を見る

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p900000027za-att/2013h25a_sc_pm1_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p900000027za-att/2013h25a_sc_pm1_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p900000027za-att/2013h25a_sc_pm1_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。

出典：独立行政法人情報処理推進機構（IPA）平成25年度秋期情報処理安全確保支援士試験午後Ⅰ 問1（公式資料：問題冊子（PDF）／解答例／採点講評）

平成25年度秋期 情報処理安全確保支援士 午後Ⅰ 問1

問題