平成25年度 秋期 応用情報技術者試験 午前 問42
テクノロジ／セキュリティクロスサイトスクリプティングの手口はどれか。
出典：平成25年度 秋期 応用情報技術者試験 午前 問42
- アWebアプリケーションに用意された入力フィールドに，悪意のあるJavaScriptコードを含んだデータを入力する。
- イインターネットなどのネットワークを通じてサーバに不正にアクセスしたり，データの改ざん・破壊を行ったりする。
- ウ大量のデータをWebアプリケーションに送ることによって，用意されたバッファ領域をあふれさせる。
- エパス名を推定することによって，本来は認証された後にしかアクセスが許可されていないページに直接ジャンプする。
正解：ア
解説
クロスサイトスクリプティング（XSS）は，Webアプリケーションの入力フィールドなどに悪意のあるスクリプトを含むデータを入力し，脆弱な処理を通じて他の利用者のブラウザ上でそのスクリプトを実行させる攻撃手口です。
選択肢ごとの解説
- ア正しい。入力フィールドに悪意のあるJavaScriptコードを含むデータを入力するのがクロスサイトスクリプティングの手口です。
- イ誤り。ネットワークを通じた不正アクセスやデータの改ざん・破壊は，不正アクセス行為一般の説明です。
- ウ誤り。大量データによってバッファ領域をあふれさせる手口はバッファオーバフロー攻撃の説明です。
- エ誤り。パス名を推定して認証を回避しページに直接アクセスする手口は，強制ブラウズ（ディレクトリトラバーサルに類する手口）の説明です。