平成27年度 秋期 応用情報技術者試験 午前 問36
テクノロジ／セキュリティクロスサイトスクリプティングの手口に該当するものはどれか。
出典：平成27年度 秋期 応用情報技術者試験 午前 問36
- ア攻撃者が，スクリプトを用いてWebサイトのOSコマンドを呼び出し，任意のファイルの読出しや変更・削除などの不正操作をする。
- イ攻撃者が，スクリプトを用いて特定のPCへ大量に接続要求を送り出し，通信機能を停止させる。
- ウ攻撃者が用意したスクリプトでWebサイトのサービスポートに順次アクセスし，各ポートに対応するサービスに存在するセキュリティ上の弱点を探し出す。
- エ攻撃者が用意したスクリプトを，閲覧者のWebブラウザを介して脆弱なWebサイトに送り込み，閲覧者のWebブラウザ上でスクリプトを実行させる。
正解：エ
解説
クロスサイトスクリプティング（XSS）は，攻撃者が細工したスクリプトを脆弱なWebサイトの入力フォームなどを介して埋め込み，そのWebサイトを閲覧した別の利用者のWebブラウザ上でスクリプトを実行させることで，Cookie窃取や不正操作を行う攻撃手口です。
選択肢ごとの解説
- ア誤り。スクリプトを用いてOSコマンドを呼び出す手口はOSコマンドインジェクションの説明です。
- イ誤り。特定のPCへ大量の接続要求を送り通信機能を停止させる手口はDoS攻撃（サービス妨害攻撃）の説明です。
- ウ誤り。サービスポートに順次アクセスして弱点を探す手口はポートスキャンの説明です。
- エ正しい。攻撃者が用意したスクリプトを閲覧者のブラウザを介して脆弱なサイトに送り込み，閲覧者のブラウザ上で実行させる手口はクロスサイトスクリプティングの説明です。