セキュリティ
基本情報技術者試験 科目A免除 修了試験 20190127 実施分 問38
クロスサイトスクリプティングに該当するものはどれか。
- ア Web アプリケーションのデータ操作言語の呼出し方に不備がある場合に，攻撃者が悪意をもって構成した文字列を入力することによって，データベースのデータの不正な取得，改ざん及び削除を可能とする。
- イ Web サイトに対して，他のサイトを介して大量のパケットを送り付け，そのネットワークトラフィックを異常に高めてサービスを提供不能にする。
- ウ 確保されているメモリ空間の下限又は上限を超えてデータの書込みと読出しを行うことによって，プログラムを異常終了させたりデータエリアに挿入された不正なコードを実行させたりする。
- エ 攻撃者が罠を仕掛けた Web ページを利用者が閲覧し，当該ページ内のリンクをクリックしたときに，不正スクリプトを含む文字列が脆弱な Web サーバに送り込まれ，レスポンスに埋め込まれた不正スクリプトの実行によって，情報漏えいをもたらす。
出典：基本情報技術者試験 科目A免除 修了試験 20190127 実施分 問38
答えと解説を見る
正解：エ
覚える知識
クロスサイトスクリプティングの定義
XSSは、不正スクリプトを含む文字列がレスポンスに反映され、利用者のブラウザ上で実行される攻撃である。
この問題で必要なこと
罠のリンク経由で不正スクリプトが脆弱なWebサーバに送られ、レスポンスに埋め込まれて利用者のブラウザで実行される攻撃。
ひっかけ
アはSQLインジェクション、イはDoS、ウはバッファオーバフローと混同させる。
この知識の出題：本試験系 0 回・免除試験 6 回（公開問題での観測値）