【問109】情報・サイバーセキュリティ管理士 練習問題｜XSS

解説

正解は2。クロスサイトスクリプティング（XSS）とは、Webアプリケーションが利用者の入力をそのままHTMLとして出力してしまう脆弱性を悪用し、閲覧者のブラウザ上で攻撃者のスクリプトを実行させる攻撃である。被害はセッションCookieの窃取によるなりすまし、偽の入力フォームの表示による情報詐取、ページの改ざんなどで、被害を受けるのは主にサーバではなく閲覧者側である。対策は出力時のエスケープ処理と、CookieへのHttpOnly属性の付与である。1は誤り。問合せ文の改変によるデータベースの改ざんはSQLインジェクションの被害である。3は誤り。公開領域外のファイルの読出しはディレクトリトラバーサルの被害である。4は誤り。OSコマンドの実行はOSコマンドインジェクションの被害である。本試験では被害の発生場所で区別する。