令和3年度 春期 ITストラテジスト試験 午前Ⅱ 問23
テクノロジ／セキュリティ格納型クロスサイトスクリプティング（Stored XSS又はPersistent XSS）攻撃に該当するものはどれか。
出典：令和3年度 春期 ITストラテジスト試験 午前Ⅱ 問23
- アWebサイト上の掲示板に攻撃用スクリプトを忍ばせた書込みを攻撃者が行うことによって，その後に当該掲示板を閲覧した利用者のWebブラウザで，攻撃用スクリプトが実行された。
- イWebブラウザへの応答を生成する処理に脆弱性のあるWebサイトに向けて，不正なJavaScriptコードを含むリクエストを送信するリンクを攻撃者が用意し，そのリンクを利用者がクリックするように仕向けた。
- ウ攻撃者が，乗っ取った複数のPC上でスクリプトを実行して大量のリクエストを攻撃対象のWebサイトに送り付け，攻撃対象のWebサイトをサービス不能状態にした。
- エ攻撃者がスクリプトを使って，送信元IPアドレスを攻撃対象のWebサイトのIPアドレスに偽装した大量のDNSリクエストを多数のDNSサーバに送信することによって，大量のDNSレスポンスが攻撃対象のWebサイトに送り付けられた。
正解：ア
解説
格納型（Stored/Persistent）クロスサイトスクリプティングは，攻撃者が掲示板などWebサイトのコンテンツとして，攻撃用スクリプトを含む書込みをサーバに保存（格納）させておき，その後そのページを閲覧した別の利用者のWebブラウザ上でスクリプトが実行される攻撃です。反射型（Reflected）XSSと異なり，攻撃用スクリプトがサーバ上のコンテンツとして保存される点が特徴です。
選択肢ごとの解説
- ア正しい。掲示板への書込みとしてスクリプトを格納し，閲覧者のブラウザで実行させる攻撃は，格納型クロスサイトスクリプティングです。
- イ誤り。不正なリクエストを送信するリンクをクリックさせる手口は，反射型（Reflected）クロスサイトスクリプティングの説明です。
- ウ誤り。乗っ取った複数のPCから大量のリクエストを送り付けてサービス不能にする攻撃は，DDoS攻撃の説明です。
- エ誤り。送信元IPアドレスを偽装した大量のDNSリクエストを送り付ける攻撃は，DNSリフレクション攻撃（DNSアンプ攻撃）の説明です。