平成28年度 秋期 情報セキュリティマネジメント試験 午前 問22
テクノロジ／セキュリティクロスサイトスクリプティングの手口はどれか。
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問22
- アWebアプリケーションに用意された入力フィールドに，悪意のあるJavaScriptコードを含んだデータを入力する。
- イインターネットなどのネットワークを通じてサーバに不正にアクセスしたり，データの改ざんや破壊を行ったりする。
- ウ大量のデータをWebアプリケーションに送ることによって，用意されたバッファ領域をあふれさせる。
- エパス名を推定することによって，本来は認証された後にしかアクセスが許可されないページに直接ジャンプする。
正解：ア
解説
クロスサイトスクリプティングは、Webアプリケーションの入力フィールドなどに悪意のあるスクリプト（JavaScriptコードなど）を含むデータを入力し、他の利用者のブラウザ上でそのスクリプトを実行させる攻撃手口です。
選択肢ごとの解説
- ア正しい。入力フィールドに悪意のあるJavaScriptコードを含むデータを入力するのがクロスサイトスクリプティングの手口です。
- イ誤り。ネットワークを通じてサーバに不正アクセスし改ざん・破壊を行うのは不正アクセス全般の説明です。
- ウ誤り。大量データを送りバッファ領域をあふれさせるのはバッファオーバフロー攻撃の説明です。
- エ誤り。パス名を推定して認証後にしかアクセスできないページに直接ジャンプするのはディレクトリトラバーサルなどの説明です。