ITパスポート 平成24年度 春期 特別措置試験 問77

✓ これが正解ア Web ページに，ユーザの入力データをそのまま表示するフォーム又は処理があるとき，第三者が悪意あるスクリプトを埋め込むことでクッキーなどのデータを盗み出す。

解説

何を埋め込むかで、よく似た三つの攻めが分かれていきます。

入力した文字を、そのまま画面へ出す作りのページがあります。検索の語や、書き込んだ内容を確認のために返す形です。ここに悪意ある小さな処理を書き込むと、そのまま出てしまいます。出た処理はブラウザの中で動き、預けた小さなデータを抜きます。これがクロスサイトスクリプティングで、そう述べた肢が当たります。名の中の横断という語は、別の場所から回り込む筋を表しています。にせのページではなく、本物のページを踏み台にするのが厄介でした。防ぐには、出す前に特別な意味を持つ文字を無害にします。入り口で弾くだけでなく、出口でも処理をするのが要点です。シラバスも、よく似た名の攻めと並べてこの語を挙げています。残る三つも別の攻めで、いずれも情報を抜くところは同じです。

だから結果ではなく、何を埋め込むかのほうで見分けます。

ほかの選択肢の解説

• イ サーバとクライアント間の正規のセッションに割り込んで，正規のクライアントに成りすますことで，サーバ内のデータを盗み出す。：やり取りの途中に割り込んで成りすます攻めを挙げた肢です。つないでいる印を盗み、正しい相手のふりをします。埋め込むのではなく、途中に入り込むところが違いました。ページの作りの弱さではなく、印の扱いの弱さを突きます。入り込む型です。
• ウ データベースに連携している Web ページのユーザ入力領域に悪意ある SQL コマンドを埋め込み，サーバ内のデータを盗み出す。：入力の欄に問い合わせの命令を書き込む攻めというのが、この肢です。蓄えた表を直に操られ、中身を引き出されてしまいます。埋め込む点は似ていますが、埋め込むものが違います。小さな処理ではなく、表への命令のほうでした。中身が違います。
• エ 電子メールを介して偽の Web サイトに誘導し，個人情報を盗み出す。：にせのページへ誘い、自分で入力させる手口のほうです。メールを入口に使い、本物そっくりの画面を見せます。ページの弱さを突くのではなく、人の思い込みを突きます。本物のページを踏み台にする形とは、成り立ちが違いました。人の側を突きます。