平成30年度 秋期 午前Ⅱ 問24

✓ これが正解アWebサイト上の掲示板に攻撃用スクリプトを忍ばせた書込みを攻撃者が行い，その後に当該掲示板を閲覧した利用者のWebブラウザで，攻撃用スクリプトが実行された。

解説

掲示板に仕込んだスクリプトが閲覧者のブラウザで実行される攻撃です。

クロスサイトスクリプティングは、Web サイトの脆弱性を突いて、攻撃者が用意したスクリプトを利用者の Web ブラウザで実行させる攻撃です。このうち格納型（Stored XSS、Persistent XSS）は、攻撃用のスクリプトを掲示板の書込みなどの形で Web サイトのサーバ側に保存させておき、そのページを後から閲覧した利用者のブラウザでスクリプトが実行されるものです。罠のリンクを踏ませなくても、ページを見ただけの利用者が次々に被害を受ける点が特徴です。見分ける軸は、攻撃用スクリプトがサーバに保存されて残り続けるかどうかです。リクエストに含めたスクリプトがその場で応答に返される形とは、保存の有無で区別します。

ほかの選択肢はなぜ違うのか

• イWebブラウザへの応答を生成する処理に脆…：不正な JavaScript コードを含むリクエストを送るリンクを用意し、利用者にクリックさせる手口は、リクエストに含めたスクリプトがその場で応答に反映される形のクロスサイトスクリプティングです。スクリプトがサーバに保存されない点が格納型と違います。
• ウ攻撃者が，乗っ取った複数のPC上でスクリ…：乗っ取った多数の PC から大量のリクエストを送り付けてサービス不能にするのは、DDoS 攻撃の説明です。利用者のブラウザでスクリプトを実行させる攻撃ではありません。
• エ攻撃者がスクリプトを使って，送信元IPア…：送信元を攻撃対象に偽装した DNS の問い合わせを多数の DNS サーバに送り、その応答を攻撃対象へ集中させるのは、DNS サーバを踏み台にした DDoS 攻撃です。クロスサイトスクリプティングとは仕組みが違います。