令和3年度 春期 午前Ⅱ 問17

✓ これが正解アWebサイト上の掲示板に攻撃用スクリプトを忍ばせた書込みを攻撃者が行うことによって，その後に当該掲示板を閲覧した利用者のWebブラウザで，攻撃用スクリプトが実行された。

解説

掲示板などに保存させたスクリプトが、閲覧者のブラウザで動く攻撃です。

格納型クロスサイトスクリプティングは、攻撃用のスクリプトをWebサイト側に保存させてしまう点が特徴です。攻撃者は、掲示板やコメント欄など、書き込んだ内容がサーバに保存されて他の利用者にも表示される場所に、スクリプトを忍ばせた書込みをします。その後、その画面を閲覧した利用者のWebブラウザで、表示と一緒にスクリプトが実行されてしまいます。利用者が罠のリンクを踏まなくても、ふつうにページを見るだけで被害に遭う点が厄介です。見分ける軸は、スクリプトがサイトに保存されて閲覧のたびに配られるのか、リクエストに含めてその場で返させるのか、です。格納、つまり置いておく型と覚えると区別できます。

ほかの選択肢はなぜ違うのか

• イWebブラウザへの応答を生成する処理に脆…：不正なJavaScriptを含むリクエストを送るリンクを用意し、利用者にクリックさせる手口では、スクリプトはサイトに保存されず、そのリクエストへの応答の中で実行されます。保存して閲覧者に配る格納型とは異なる型です。
• ウ攻撃者が，乗っ取った複数のPC上でスクリ…：乗っ取った複数のPCから大量のリクエストを送り付けてサービス不能にするのは、DDoS攻撃の説明です。スクリプトを使っているとしても、閲覧者のブラウザでスクリプトを実行させる攻撃ではありません。
• エ攻撃者がスクリプトを使って，送信元IPア…：送信元IPアドレスを攻撃対象に偽装したDNSリクエストを多数のDNSサーバに送り、応答を攻撃対象に集中させるのは、DNSを踏み台にしたリフレクション攻撃の説明です。ブラウザでスクリプトを動かす攻撃とは別物です。