平成30年度春期 情報処理安全確保支援士 午前Ⅰ 問12

午前I 問12：XSSは“他人のブラウザでいたずらメモを開かせる”攻撃だよ

XSSは、掲示板や入力フォームなどに悪意のあるスクリプトをこっそり仕込んで、それを見た別の利用者のブラウザ上で実行させる攻撃だよ。たとえるなら、みんなが見る伝言板に危ない命令を書き込んで、読んだ人のスマホやPCに勝手に動かさせるようなイメージだね。

この問題で問われていること

ここでは、XSSをバッファオーバフローやパス推測、不正侵入全般と混同しないことがポイントだよ。XSSの主役は“サーバを直接壊す”ことではなく、“利用者のブラウザでスクリプトを実行させる”ことだと押さえよう。

Cross-site Scripting

XSS injects malicious script into web input so it executes in a browser later

inject script\nexecuted in browser

確認ポイント

• 大量データ送信は別攻撃です。
• パス名推測とも違う。
• JavaScript 注入を選ぶ。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これが正解だよ。Webフォームの入力欄に悪意のあるJavaScriptを混ぜて、あとでそのページを見た人のブラウザ上で実行させるのがクロスサイトスクリプティングだね。たとえるなら、掲示板に普通のメモのふりをして『読んだ人に勝手に動作させる命令書』を貼っておくようなものだよ。

選択肢イ

これは不正解だよ。サーバへ不正アクセスしたり、データを改ざん・破壊したりするという、かなり広い意味での不正行為の説明だね。たとえるなら『泥棒が家に入って物を壊す』という全体的な話で、具体的な手口までは言っていない感じ。クロスサイトスクリプティングの特徴である、入力欄などに悪意あるスクリプトを混ぜる話ではないよ。

選択肢ウ

これは不正解だよ。大量のデータを送り込んで、アプリが用意している入れ物をあふれさせる攻撃の説明だね。たとえるなら、小さなコップに水を大量に注いでこぼれさせるようなもの。これはバッファオーバーフロー攻撃であって、クロスサイトスクリプティングではないよ。

選択肢エ

これは不正解だよ。URLやページ名を推測して、ログイン後にしか見られないページへ直接行こうとする話だね。たとえるなら、会員専用の部屋番号を当てて勝手にドアを開けようとする感じ。これは強制ブラウジングや認可制御の不備に関係する攻撃で、悪意あるJavaScriptを入力するクロスサイトスクリプティングとは別物だよ。