令和3年度 春期 システムアーキテクト試験 午前Ⅱ 問17

解説

格納型（Stored又はPersistent）クロスサイトスクリプティングは，攻撃者が脆弱性のあるWebサイト（掲示板など）に攻撃用スクリプトを含む書込みを行い，そのスクリプトがサーバ上に保存（格納）されることで，後にそのページを閲覧した別の利用者のWebブラウザ上でスクリプトが実行されてしまう攻撃です。攻撃者が用意したリンクを利用者にクリックさせる反射型（Reflected）XSSとは異なり，被害者は特定のリンクをクリックしなくても，汚染されたページを閲覧するだけで被害に遭う点が特徴です。

選択肢ごとの解説

• ア正しい。Webサイト上の掲示板に攻撃用スクリプトを仕込む書込みを行い，その後閲覧した利用者のWebブラウザでスクリプトが実行される攻撃は，格納型（Stored/Persistent）XSSに該当します。
• イ誤り。攻撃者が用意したリンクを利用者にクリックさせることでスクリプトを含むリクエストを送信させる攻撃は，反射型（Reflected）XSSの説明です。
• ウ誤り。乗っ取った複数のPCから大量のリクエストを送り付けてサービス不能状態にする攻撃は，DDoS攻撃の説明であり，XSSの説明ではありません。
• エ誤り。送信元IPアドレスを偽装した大量のDNSリクエストを送信する攻撃は，DNSリフレクション攻撃（DNSアンプ攻撃）の説明であり，XSSの説明ではありません。