情報セキュリティマネジメント 平成28年度 秋期 午前 問22

✓ これが正解ア Webアプリケーションに用意された入力フィールドに，悪意のあるJavaScriptコードを含んだデータを入力する。

解説

入力欄に悪意のあるスクリプトを送り込む手口です。

クロスサイトスクリプティングは、Webアプリケーションが受け取った入力を、そのままページの一部として出力してしまう弱点を突く攻撃です。攻撃者は、用意されている入力フィールドに、悪意のあるJavaScriptのコードを含んだデータを入力します。そのデータが加工されないままページに埋め込まれると、そのページを開いた利用者のWebブラウザ上でスクリプトが動いてしまいます。その結果、利用者のブラウザが持っている情報が攻撃者の手に渡ることがあります。被害が現れるのが、誘い込まれた利用者の画面の側であるところが、この手口の特徴です。

ほかの選択肢の解説

• イ インターネットなどのネットワークを通じてサーバに不正にアクセスしたり，データの改ざんや破壊を行ったりする。：ネットワークを通じてサーバへ不正に入り込み、データを書き換えたり壊したりするという記述で、不正アクセス全般をおおまかに述べたものです。閲覧者のブラウザでスクリプトを走らせるという特徴が入っていません。
• ウ 大量のデータをWebアプリケーションに送ることによって，用意されたバッファ領域をあふれさせる。：大量のデータを送り付けて、用意されている記憶領域をあふれさせるという記述で、バッファオーバーフローを狙うやり方です。あふれる先はサーバ側の領域なので、閲覧者の画面で起きるものとは違います。
• エ パス名を推定することによって，本来は認証された後にしかアクセスが許可されないページに直接ジャンプする。：パス名を当てずっぽうに指定して、本来なら認証を通らないと入れないページへ直接飛ぶという記述です。アクセスの制御をすり抜けるやり方であって、入力がページに出力される仕組みを突くものではありません。