ITパスポート 平成24年度 秋期 特別措置試験 問60

✓ これが正解ア Web サイトに入力されたデータに含まれる悪意あるスクリプトを，そのまま Web ブラウザに送ってしまうという脆弱性を利用する。

解説

入力されたスクリプトを、そのまま返す脆弱性を突きます。

設問はクロスサイトスクリプティングの特徴を問うています。この攻撃は、入力をそのままページに返す脆弱性を突きます。入力欄に、悪意のあるスクリプトを紛れ込ませます。受け取った Web サイトが、それを確かめずにページへ書き戻します。すると利用者のブラウザが、そのスクリプトを実行してしまいます。だからスクリプトをそのままブラウザに送ると述べた肢が正解です。パスワードやセッション情報が抜き取られる被害につながります。防ぐには、返す前にスクリプトを無害化しておきます。長さを確かめない相手に長すぎるデータを送り付ける攻撃は、バッファオーバフローです。あふれさせて、書き換えてはいけない領域を書き換えます。有用なソフトウェアに見せかけて入れさせる手口は、トロイの木馬です。ワープロや表計算ソフトのマクロ機能を悪用するのは、マクロウイルスです。突く先で名前が変わります。シラバスも、クロスサイトスクリプティングを用語に挙げています。

ほかの選択肢の解説

• イ 入力されたデータの長さをチェックしていない Web サイト上のアプリケーションに対し，長すぎるデータを送りつける。：バッファオーバフローは、入力データの長さを確かめないアプリケーションに長すぎるデータを送り、受け止める領域からあふれさせる攻撃です。あふれた先を書き換えて乗っ取ります。スクリプトをページへ返させる攻撃ではなく、突く弱みが違います。
• ウ 有用なソフトウェアに見せかけて利用者にインストールさせ，コンピュータに侵入する。：トロイの木馬は、有用なソフトウェアに見せかけて、利用者に自らインストールさせる手口です。そこから内側へ入り込みます。よく知られた手口ですが、Web ページを経由する攻撃ではなく、入り口が別です。
• エ ワープロソフトや表計算ソフトの操作手順を記録し，呼び出して実行する機能を不正に利用する。：マクロウイルスは、ワープロソフトや表計算ソフトに備わる、操作手順を記録して呼び出す機能を悪用します。ファイルを開いただけで動くところが厄介です。Web ブラウザを通らずに動くので、舞台が別です。