修了試験 2025-12-14実施分 基本情報技術者試験 問27

解説

正解は1です。 クロスサイトスクリプティング（XSS）の種類のうち、格納型XSSを見分ける問題です。 格納型XSSは、攻撃用スクリプトをWebサイト側に保存させ、閲覧した利用者のブラウザで実行させる攻撃です。 一度書き込まれると、そのページを見た利用者全員が被害を受けるおそれがあります。 【選択肢別解説】 1：○ 掲示板に攻撃用スクリプトを含む書込みを保存させ、後から閲覧した利用者のブラウザで実行させています。 スクリプトがサーバに格納されるので、格納型XSSに該当します。 2：× 不正なスクリプトを含むリクエストのリンクを利用者にクリックさせ、応答にスクリプトを反射させる攻撃は反射型XSSです。 スクリプトはサイトに保存されません。 3：× 乗っ取った多数のPCから大量のリクエストを送り、サービス不能にするのはDDoS（Distributed Denial of Service）攻撃です。 4：× 送信元を攻撃対象に偽装したDNSリクエストを送り、大量の応答を攻撃対象に送り付けるのはDNSリフレクション攻撃（DNSアンプ攻撃）です。 【ポイント】 「格納型はサイトに保存される」「反射型はリクエストに含めて跳ね返らせる」と区別しましょう。 XSSの基本的な対策は、出力時のエスケープ処理です。