平成27年度 春期 ITパスポート試験 問84
テクノロジ／セキュリティクロスサイトスクリプティングに関する記述として，適切なものはどれか。
出典：平成27年度 春期 ITパスポート試験 問84
- アWeb サイトの運営者が意図しないスクリプトを含むデータであっても，利用者のブラウザに送ってしまう脆弱性を利用する。
- イWeb ページの入力項目に OS の操作コマンドを埋め込んで Web サーバに送信し，サーバを不正に操作する。
- ウ複数の Web サイトに対して，ログイン ID とパスワードを同じものに設定するという利用者の習性を悪用する。
- エ利用者に有用なソフトウェアと見せかけて，悪意のあるソフトウェアをインストールさせ，利用者のコンピュータに侵入する。
正解：ア
解説
クロスサイトスクリプティングは，Web サイトの脆弱性を突き，攻撃者が仕込んだ悪意のあるスクリプトを，サイトを訪れた利用者のブラウザ上で実行させる攻撃です。サイトの運営者が意図しないスクリプトを含むデータを，そのまま利用者に送ってしまう脆弱性が原因です。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- ア正しい。Web サイトが，意図しないスクリプトを含むデータをそのまま利用者のブラウザに返す脆弱性を悪用するのが，クロスサイトスクリプティングです。
- イ誤り。入力項目に OS のコマンドを埋め込んでサーバを操作するのは，OS コマンドインジェクションの説明です。
- ウ誤り。同じ ID とパスワードの使い回しを悪用するのは，パスワードリスト攻撃の説明です。
- エ誤り。有用なソフトに見せかけて侵入するのは，トロイの木馬の説明です。