平成30年度 秋期 ITストラテジスト試験 午前Ⅱ 問24
テクノロジ／セキュリティ格納型クロスサイトスクリプティング（Stored XSS又はPersistent XSS）攻撃に該当するものはどれか。
出典：平成30年度 秋期 ITストラテジスト試験 午前Ⅱ 問24
- アWebサイト上の掲示板に攻撃用スクリプトを忍ばせた書込みを攻撃者が行い，その後に当該掲示板を閲覧した利用者のWebブラウザで，攻撃用スクリプトが実行された。
- イWebブラウザへの応答を生成する処理に脆弱性のあるWebサイトに対して，不正なJavaScriptコードを含むリクエストを送信するリンクを攻撃者が用意し，そのリンクを利用者がクリックするように仕向けた。
- ウ攻撃者が，乗っ取った複数のPC上でスクリプトを実行して大量のリクエストを攻撃対象のWebサイトに送り付け，サービス不能状態にした。
- エ攻撃者がスクリプトを使って，送信元IPアドレスを攻撃対象のWebサイトのIPアドレスに偽装した大量のDNSリクエストを多数のDNSサーバに送信することによって，大量のDNSレスポンスを攻撃対象のWebサイトに送り付けるようにした。
正解：ア
解説
格納型クロスサイトスクリプティング（Stored XSS，Persistent XSS）は，攻撃者が掲示板やコメント欄など，Webサイト側でデータを保存する仕組みに，攻撃用のスクリプトを含む書込みをあらかじめ行っておき，その後，別の利用者がそのページを閲覧した際に，保存されていたスクリプトが利用者のWebブラウザ上で実行されてしまう攻撃です。攻撃用データがWebサイト側に格納される点が特徴です。
選択肢ごとの解説
- ア正しい。掲示板に攻撃用スクリプトを含む書込みを行い，後にそれを閲覧した利用者のブラウザでスクリプトが実行される攻撃は，攻撃用データがWebサイトに格納されることから，格納型（Stored/Persistent）XSSに該当します。
- イ誤り。攻撃者が用意した不正なリクエストを送信するリンクを利用者にクリックさせる攻撃は，攻撃用データがサイトに格納されず，リクエストのたびに送り込まれる反射型（Reflected）クロスサイトスクリプティングの説明です。
- ウ誤り。乗っ取った複数のPCから大量のリクエストを送り付けてサービス不能状態にする攻撃は，DDoS攻撃の説明です。
- エ誤り。送信元IPアドレスを偽装した大量のDNSリクエストを送り付け，大量のDNSレスポンスを攻撃対象に送り付ける攻撃は，DNSリフレクション攻撃（DNSアンプ攻撃）の説明です。