修了試験 2019-01-27実施分 基本情報技術者試験 問38

解説

正解は4です。 Web アプリケーションへの代表的な攻撃のうち、クロスサイトスクリプティング（XSS）を選ぶ問題です。 XSS は、脆弱な Web サイトを経由して、利用者のブラウザ上で不正なスクリプトを実行させる攻撃です。 【選択肢別解説】 1：× これは SQL インジェクションの説明です。 SQL の組立て方の不備を突き、悪意ある文字列でデータベースを不正に操作します。 2：× これは DDoS（Distributed Denial of Service）攻撃の説明です。 大量のパケットでトラフィックを増やし、サービスを提供できなくする攻撃です。 3：× これはバッファオーバフロー攻撃の説明です。 確保したメモリの範囲を超えて書き込み、プログラムを異常終了させたり不正なコードを実行させたりします。 4：○ 罠のページのリンクから、不正なスクリプトを含む文字列が脆弱な Web サーバに送り込まれます。 サーバがその文字列をそのままレスポンスに埋め込むと、利用者のブラウザでスクリプトが実行されます。 これにより Cookie などの情報が漏えいするのが、クロスサイトスクリプティングです。 【ポイント】 XSS の主な対策は、Web ページに出力する文字列の特殊文字を無害な文字に置き換えるエスケープ処理です。