修了試験 2023-01-22実施分 基本情報技術者試験 問44

解説

正解は3です。 クロスサイトスクリプティング（XSS）は、Webページに入力されたスクリプトが、そのまま出力されて利用者のブラウザで実行されてしまう脆弱性を突く攻撃です。 対策の基本は、出力時に「＜」や「＞」などの特殊文字をエスケープすることです。 【選択肢別解説】 1：× SNMPエージェントは、ネットワーク機器やサーバの状態を監視・管理するためのものです。 XSS攻撃を検知したり防いだりする対策ではありません。 2：× OSのセキュリティパッチは、OSの脆弱性への対策です。 XSSはWebアプリケーションの作りに起因するので、OSのパッチでは防げません。 3：○ 入力データを出力するときに、HTMLタグとして解釈されないよう特殊文字を変換（エスケープ）するのが、XSSの代表的な対策です。 4：× 許容量を超えるデータの入力を禁止するのは、バッファオーバフロー攻撃への対策です。 短いスクリプトでもXSSは成立するので、有効な対策になりません。 【ポイント】 XSS対策は出力時のエスケープ、SQLインジェクション対策はプレースホルダ（バインド機構）の利用と、セットで覚えましょう。