平成24年度 春期 ITパスポート試験 問77
テクノロジ／セキュリティクロスサイトスクリプティングとは，Web サイトの脆弱性を利用した攻撃である。クロスサイトスクリプティングに関する記述として，適切なものはどれか。
出典：平成24年度 春期 ITパスポート試験 問77
- アWeb ページに，ユーザの入力データをそのまま表示するフォーム又は処理があるとき，第三者が悪意あるスクリプトを埋め込むことでクッキーなどのデータを盗み出す。
- イサーバとクライアント間の正規のセッションに割り込んで，正規のクライアントに成りすますことで，サーバ内のデータを盗み出す。
- ウデータベースに連携している Web ページのユーザ入力領域に悪意ある SQL コマンドを埋め込み，サーバ内のデータを盗み出す。
- エ電子メールを介して偽の Web サイトに誘導し，個人情報を盗み出す。
正解：ア
解説
クロスサイトスクリプティング（XSS）は，入力内容をそのまま画面に表示する Web ページの脆弱性を突き，攻撃者が仕込んだ悪意あるスクリプトを閲覧者のブラウザ上で実行させる攻撃です。これにより，クッキーに保存された情報（セッション ID など）を盗み出されることがあります。対策として，入力値を表示する際にエスケープ処理をします。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- ア正しい。入力データを表示する処理にスクリプトを埋め込み，クッキーなどを盗む，クロスサイトスクリプティングの説明です。
- イ誤り。正規のセッションに割り込んで成りすます攻撃は，セッションハイジャックです。
- ウ誤り。データベース連携のページに悪意ある SQL を埋め込む攻撃は，SQL インジェクションです。
- エ誤り。メールで偽サイトに誘導して個人情報を盗む手口は，フィッシングです。