情報セキュリティマネジメント 平成28年度 春期 午前 問21

✓ これが正解エ 攻撃者が罠を仕掛けたWebページを利用者が閲覧し，当該ページ内のリンクをクリックしたときに，不正スクリプトを含む文字列が脆弱なWebサーバに送り込まれ，レスポンスに埋め込まれた不正スクリプトの実行によって，情報漏えいをもたらす。

解説

罠のページ経由で不正スクリプトを実行させる攻撃です。

クロスサイトスクリプティングは、Webアプリケーションが受け取った文字列を、そのままページの一部として出力してしまう弱点を突く攻撃です。攻撃者は罠を仕掛けたWebページを用意しておき、そこを閲覧した利用者にリンクをクリックさせます。すると不正スクリプトを含む文字列が、弱点のあるWebサーバへ送り込まれ、サーバが返すレスポンスに埋め込まれた形で利用者のもとへ戻ってきます。そのスクリプトが利用者のWebブラウザ上で動いてしまい、情報漏えいにつながります。被害が現れるのが、誘い込まれた利用者の画面の側であるところが、この手口の特徴です。

ほかの選択肢の解説

• ア Webアプリケーションのデータ操作言語の呼出し方に不備がある場合に，攻撃者が悪意をもって構成した文字列を入力することによって，データベースのデータの不正な取得，改ざん及び削除を可能とする。：データ操作言語の呼出し方の不備を突き、細工した文字列を入力してデータベースのデータを不正に取得したり改ざんしたりする攻撃です。狙われているのはサーバ側に置かれたデータであって、閲覧した人の画面ではありません。
• イ Webサイトに対して，他のサイトを介して大量のパケットを送り付け，そのネットワークトラフィックを異常に高めてサービスを提供不能にする。：他のサイトを介して大量のパケットを送り付け、ネットワークの通信量を異常に高めてサービスを提供できなくする攻撃です。ねらいはサービスを止めることであり、閲覧者のもとでスクリプトを動かすことではありません。
• ウ 確保されているメモリ空間の下限又は上限を超えてデータの書込みと読出しを行うことによって，プログラムを異常終了させたりデータエリアに挿入された不正なコードを実行させたりする。：確保されたメモリ空間の下限や上限を超えて書込みと読出しを行い、プログラムを異常終了させたり不正なコードを実行させたりする攻撃です。突かれているのはメモリの扱いの誤りであって、ページの組立て方の弱点ではありません。