平成30年度秋期 ITストラテジスト 午前Ⅱ 問24

XSSを見分けるための着眼点

選択肢を読むときは、攻撃が成立する場面を個別に暗記せず、入力がどの処理段階で扱われ、最終的にどのような解釈へ進むのかを整理して考えましょう。

この問題で問われていること

一つの観点として、利用者の入力がアプリケーション内でどの文脈に渡り、表示や処理の過程でどのように扱われる想定かを、選択肢ごとに確認してください。

視点

XSSを学ぶ際は、入力値の受け取りから出力までの流れを追い、どの場所で解釈のされ方が変わり得るかという観点で情報を整理します。

確認ポイント

• 入力値がアプリケーション内でどの段階を通るか確認する
• 表示や処理の文脈が選択肢ごとにどう説明されているか比べる
• 攻撃の名称ではなく、成立条件の説明が一貫しているか確認する

正解

ア

解説

格納型クロスサイトスクリプティングは、攻撃用スクリプトを掲示板などのWebサイトに保存させ、後からそのページを閲覧した利用者のブラウザで実行させる攻撃です。したがって、該当するのはアです。

理由

アは、攻撃者が掲示板への書込みに攻撃用スクリプトを忍ばせ、その内容が掲示板に残った後、別の利用者が閲覧した際にブラウザで実行されている。攻撃者の入力がWebサイトに格納され、後続利用者へ配信されるため、格納型XSSに該当する。

比較

イはリンクをクリックした利用者に不正なリクエストを送らせる反射型XSSの説明であり、ウは複数のPCから大量通信を行うDDoS攻撃です。エは送信元を偽装したDNS応答を利用するDNSリフレクション攻撃であり、いずれも格納型XSSではありません。

選択肢ア（正解）

これは正解だよ。攻撃者が掲示板への書込みに攻撃用スクリプトを忍ばせ、その内容がWebサイト側に保存されている。その後、掲示板を閲覧した別の利用者のWebブラウザでスクリプトが実行されるため、入力が格納されてから利用者へ配信される格納型XSSの特徴と一致する。

選択肢イ

これは不正解だよ。不正なJavaScriptコードを含むリクエストを送るリンクを攻撃者が用意し、利用者がクリックすることで攻撃が成立している。攻撃用コードがWebサイトに保存され、後続の閲覧者へ配信される説明ではないため、格納型XSSには該当しない。

選択肢ウ

これは不正解だよ。攻撃者が乗っ取った複数のPC上でスクリプトを実行し、大量のリクエストを攻撃対象へ送ってサービス不能にしている。これは多数の端末を利用した分散型サービス妨害の説明であり、Webページにスクリプトを保存して実行させるXSSとは異なる。

選択肢エ

これは不正解だよ。送信元IPアドレスを偽装したDNSリクエストを多数のDNSサーバへ送り、大量のDNSレスポンスを攻撃対象へ集中させている。これはDNSを悪用した反射・増幅型のサービス妨害であり、掲示板などにスクリプトを格納する攻撃ではない。

学習のポイント

XSSの種類を、スクリプトの保存場所と実行される契機で区別する。