応用情報技術者 2013年 秋期 午前2 問42

クロスサイトスクリプティング【午前2解説】

正解の理由

解法ステップ

1. 問題文で「JavaScript」「入力フィールド」「実行」などクライアント側スクリプトの注入を示す語句があるか確認する。あれば XSS を疑う。
2. 各選択肢を「どのレイヤ／どこで被害が発生するか」で分類する：
   • ブラウザ上でのスクリプト実行 → XSS
   • ネットワーク越しの不正アクセスや改ざん → 不正アクセス（侵入）
   • 大量データでメモリを上書き → バッファオーバーフロー
   • URL 推測で認証外ページに行く → 強制ブラウジング／IDOR（アクセス制御欠陥）
3. 最も一致する選択肢を選ぶ（本問は上記の通り ア）。

選択肢別の誤答解説

• ア: 正解。入力欄に悪意あるスクリプトを送り、それがそのまま出力されてブラウザで実行される典型的な XSS の説明です。XSS には主に「ストアド（保存型）」「リフレクト（反射型）」「DOM ベース」の3種類があります。例：入力に <script>alert('XSS')</script> を含め、出力時にエスケープされずにそのまま表示されると実行されます。
• イ: 誤り。ネットワークを通じてサーバに不正アクセスしたりデータを改ざん・破壊する行為は一般に不正侵入や改ざん攻撃（例：不正アクセス、改ざん、マルウェア等）であり、XSS の説明とは異なります。XSS は主にクライアント側（ブラウザ）でスクリプトが実行される点が特徴です。
• ウ: 誤り。大量データでバッファをあふれさせるのはバッファオーバーフロー攻撃で、メモリ破壊や任意コード実行を狙います。これはサーバやネイティブアプリ側のメモリ管理の問題に起因し、ブラウザでのスクリプト注入を狙う XSS とは異なります。
• エ: 誤り。提示文の「パス名を推定して認証後のページに直接ジャンプする」は、ディレクトリトラバーサルとは異なり、正しくは「強制ブラウジング（URL 推測による直接アクセス）」や「直接オブジェクト参照の不備（IDOR）／認証バイパス」に該当します。これはアクセス制御の欠陥により発生する問題であり、XSS のスクリプト注入とは性質が違います。

よくある誤解

• XSS をサーバ側の侵入攻撃と混同する：XSS は攻撃が成功すると被害は主にユーザのブラウザ側で発生します（ただし最終的にサーバ情報が盗まれる場合もある）。不正アクセス（イ）と混同しないこと。
• 「スクリプトが埋め込まれる＝必ず攻撃になる」と考える誤解：スクリプトが埋め込まれても、適切な出力エスケープや CSP により実行が防げます。
• 入力検証だけで十分と考える誤解：XSS 対策は入力検証に加え、出力時のエスケープ/エンコーディングや CSP、HttpOnly クッキーなど多層的対策が必要です。

補足コラム

• XSS の種類と簡単な見分け方
  • リフレクト（反射型）：リクエストに含めた悪性スクリプトがレスポンスに反映され即座に実行される。検索結果やエラーメッセージでよく発生。
  • ストアド（保存型）：悪性スクリプトがサーバに保存され、複数の利用者に配信されて実行される（掲示板やコメント機能で危険）。
  • DOM ベース：レスポンス生成時ではなく、クライアント上の DOM 操作でスクリプトが実行される。
• 代表的対策（実践的優先度順）
  1. 出力エスケープ（HTML エンティティ化）— どのコンテキスト（HTML、属性、JavaScript、URL）かに応じて適切にエンコードする。
  2. コンテンツセキュリティポリシー（CSP）で実行可能なスクリプトソースを制限する。
  3. HttpOnly／Secure／SameSite を用いたクッキー保護。
  4. 信頼できるサニタイズライブラリの利用（例：DOMPurify）。
• 簡単な例（ブラウザ側でのサニタイズ使用例）

// DOMPurify を用いて、ユーザ入力を安全に挿入する例
const dirty = "<img src=x onerror=alert('XSS')>";
const clean = DOMPurify.sanitize(dirty);
document.getElementById("output").innerHTML = clean;

FAQ