平成28年度 春期 情報セキュリティマネジメント試験 午前 問21
テクノロジ／セキュリティクロスサイトスクリプティングに該当するものはどれか。
出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問21
- アWebアプリケーションのデータ操作言語の呼出し方に不備がある場合に，攻撃者が悪意をもって構成した文字列を入力することによって，データベースのデータの不正な取得，改ざん及び削除を可能とする。
- イWebサイトに対して，他のサイトを介して大量のパケットを送り付け，そのネットワークトラフィックを異常に高めてサービスを提供不能にする。
- ウ確保されているメモリ空間の下限又は上限を超えてデータの書込みと読出しを行うことによって，プログラムを異常終了させたりデータエリアに挿入された不正なコードを実行させたりする。
- エ攻撃者が罠を仕掛けたWebページを利用者が閲覧し，当該ページ内のリンクをクリックしたときに，不正スクリプトを含む文字列が脆弱なWebサーバに送り込まれ，レスポンスに埋め込まれた不正スクリプトの実行によって，情報漏えいをもたらす。
正解：エ
解説
クロスサイトスクリプティング（XSS）は、攻撃者が罠を仕掛けたWebページ経由で脆弱なWebサーバに不正スクリプトを送り込み、レスポンスに埋め込まれたそのスクリプトが利用者のブラウザで実行されることで情報漏えいなどをもたらす攻撃です。
選択肢ごとの解説
- ア誤り。データ操作言語の呼出し方の不備を突いてデータベースを不正操作するのは、SQLインジェクションの説明です。
- イ誤り。他のサイトを介して大量のパケットを送りサービスを提供不能にするのは、DDoS攻撃の説明です。
- ウ誤り。メモリ空間の上限・下限を超えてデータを読み書きするのは、バッファオーバーフロー攻撃の説明です。
- エ正しい。罠のページ経由で不正スクリプトが脆弱なサーバに送り込まれ、レスポンスに埋め込まれて実行されるのはクロスサイトスクリプティングの説明です。