平成30年度 秋期 システムアーキテクト試験 午前Ⅱ 問23
テクノロジ／セキュリティ格納型クロスサイトスクリプティング（Stored XSS 又は Persistent XSS）攻撃に該当するものはどれか。
出典：平成30年度 秋期 システムアーキテクト試験 午前Ⅱ 問23
- アWeb サイト上の掲示板に攻撃用スクリプトを忍ばせた書込みを攻撃者が行い，その後に当該掲示板を閲覧した利用者の Web ブラウザで，攻撃用スクリプトが実行された。
- イWeb ブラウザへの応答を生成する処理に脆弱性のある Web サイトに対して，不正な JavaScript コードを含むリクエストを送信するリンクを攻撃者が用意し，そのリンクを利用者がクリックするように仕向けた。
- ウ攻撃者が，乗っ取った複数の PC 上でスクリプトを実行して大量のリクエストを攻撃対象の Web サイトに送り付け，サービス不能状態にした。
- エ攻撃者がスクリプトを使って，送信元 IP アドレスを攻撃対象の Web サイトの IP アドレスに偽装した大量の DNS リクエストを多数の DNS サーバに送信することによって，大量の DNS レスポンスを攻撃対象の Web サイトに送り付けるようにした。
正解：ア
解説
格納型（Stored／Persistent）クロスサイトスクリプティングは，攻撃者が Web サイト（掲示板など）に攻撃用スクリプトを含む書込みを行い，そのスクリプトが Web サーバ側に保存（格納）された状態になることで，後にそのページを閲覧した別の利用者の Web ブラウザ上でスクリプトが実行されてしまう攻撃です。
選択肢ごとの解説
- ア正しい。掲示板に忍ばせた攻撃用スクリプトが保存され，後にそれを閲覧した利用者のブラウザで実行されるのは，格納型クロスサイトスクリプティングです。
- イ誤り。攻撃者が用意したリンクを利用者がクリックすることでスクリプトが実行される攻撃は，反射型（Reflected）クロスサイトスクリプティングの説明です。
- ウ誤り。乗っ取った複数の PC から大量のリクエストを送り付けてサービス不能状態にする攻撃は，DDoS（分散型サービス妨害）攻撃の説明です。
- エ誤り。送信元 IP アドレスを偽装した大量の DNS リクエストを送信し，大量の DNS レスポンスを攻撃対象に送り付ける攻撃は，DNS リフレクション（DNS 増幅）攻撃の説明です。