平成27年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問12

✓ これが正解エWeb サイトへの入力データを表示するときに，HTML で特別な意味をもつ文字のエスケープ処理を行う。

解説

入力データを表示する際、HTMLで特別な意味をもつ文字をエスケープします。

クロスサイトスクリプティングは、利用者の入力に紛れ込ませたスクリプトが Web ページにそのまま出力され、ブラウザで実行されてしまう脆弱性を突く攻撃です。対策の中心は、入力データを画面に表示するときに、HTML で特別な意味をもつ文字をエスケープ処理することです。不等号やアンパサンド、引用符などを文字参照に置き換えると、ブラウザはそれをタグではなくただの文字として表示します。見分けるときは、その対策がスクリプトを出力に混ぜない働きをもつかどうかを確かめます。

ほかの選択肢はなぜ違うのか

• アWeb サーバに SNMP エージェント…：SNMP エージェントで Web サーバの負荷を見張るのは、稼働状況を把握するための運用の手段です。ページに埋め込まれたスクリプトを無害にする働きはありません。
• イWeb サーバの OS のセキュリティパ…：OS のセキュリティパッチは OS の脆弱性をふさぐものです。この攻撃は Web アプリケーションの出力の作り方の弱点を突くため、OS を最新にしても防げません。
• ウWeb サイトへのデータ入力について，許…：許容範囲を超える大きさのデータを書き込ませないのは、バッファオーバフローを防ぐための対策です。短いスクリプトなら範囲内に収まるので、この攻撃は止まりません。