平成24年度 秋期 ITパスポート試験 問60
テクノロジ／セキュリティクロスサイトスクリプティングの特徴に関する記述として，適切なものはどれか。
出典：平成24年度 秋期 ITパスポート試験 問60
- アWeb サイトに入力されたデータに含まれる悪意あるスクリプトを，そのまま Web ブラウザに送ってしまうという脆弱性を利用する。
- イ入力されたデータの長さをチェックしていない Web サイト上のアプリケーションに対し，長すぎるデータを送りつける。
- ウ有用なソフトウェアに見せかけて利用者にインストールさせ，コンピュータに侵入する。
- エワープロソフトや表計算ソフトの操作手順を記録し，呼び出して実行する機能を不正に利用する。
正解：ア
解説
クロスサイトスクリプティング（XSS）は，Web サイトが入力データに含まれるスクリプトを無害化しないまま Web ブラウザに送り返してしまう脆弱性を突く攻撃です。悪意あるスクリプトが利用者のブラウザ上で実行され，Cookie の盗用などが行われるおそれがあります。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- ア正しい。入力されたスクリプトをそのまま返してしまう脆弱性を利用するのが XSS です。
- イ誤り。長すぎるデータを送りつけるのは，バッファオーバフロー攻撃の説明です。
- ウ誤り。有用なソフトウェアに見せかけて侵入するのは，トロイの木馬の説明です。
- エ誤り。ワープロや表計算ソフトのマクロ機能を悪用するのは，マクロウイルスの説明です。