令和3年度春期 ITストラテジスト 午前Ⅱ 問23

攻撃の成立条件を照合する視点

Webアプリの攻撃手法を考えるときは、名称や印象で判断せず、攻撃者の入力がどの処理段階に届き、どの境界を越えて、どの対象へ影響する想定なのかを同じ基準で整理します。

この問題で問われていること

各選択肢について、攻撃の起点・介在する処理・影響を受ける対象のつながりだけに注目し、説明全体の因果関係と前提が一貫しているか、用語の印象に引きずられず確認してください。

視点

攻撃手法を区別する際は、用語の暗記よりも、入力がどこから入り、アプリケーション内で何を経由し、最終的にどの境界へ作用する想定かという関係を整理します。

確認ポイント

• 攻撃の起点と、利用される入力の位置関係を確認する。
• 処理の途中で越えようとしている境界を一つに絞って読む。
• 影響を受ける対象が、説明された流れと矛盾していないか照合する。

正解

ア

解説

正答はア。攻撃者が掲示板への書込みとしてスクリプトをサイト側に残し、その後の閲覧者のブラウザで実行させているため、格納型クロスサイトスクリプティングに該当する。

理由

格納型クロスサイトスクリプティングは、攻撃用スクリプトがWebサイトのデータとして保存され、後からそのページを閲覧した利用者のブラウザで実行される攻撃です。掲示板などの投稿機能が悪用される。

比較

一時的なリクエストへの細工、複数端末からの大量通信、DNS応答の反射による妨害は、それぞれ異なる攻撃の仕組みです。保存されたスクリプトが後続閲覧者に実行されるかを基準に区別する。

選択肢ア（正解）

これは正解だよ。掲示板への書込みとして攻撃用スクリプトをWebサイト側に残し、その後に掲示板を閲覧した利用者のWebブラウザで実行させている。攻撃コードが保存され、後続の閲覧者に影響するという、格納型クロスサイトスクリプティングの特徴と一致する。

選択肢イ

これは不正解だよ。不正なJavaScriptを含むリクエストへのリンクを利用者にクリックさせ、脆弱なWebサイトから応答させる内容である。攻撃者が事前にサイトへ書込みを保存し、後続閲覧者へ配布する説明ではないため、格納型XSSとは異なる。

選択肢ウ

これは不正解だよ。乗っ取った複数のPCから大量のリクエストを送り、対象サイトをサービス不能にしている。これは多数の端末を利用したDoS／DDoS型の可用性攻撃を示すもので、Webページにスクリプトを保存して閲覧者のブラウザで実行させるXSSではない。

選択肢エ

これは不正解だよ。送信元IPアドレスを偽装したDNSリクエストに対する大量の応答を対象サイトへ向けている。DNSを悪用した反射・増幅型のサービス妨害であり、掲示板などにスクリプトを格納してブラウザで実行させる攻撃の説明ではない。

学習のポイント

入力の保存と、後続閲覧時の実行主体を区別する視点を身に付ける。