情報セキュリティマネジメント 2016年 秋期 午前（科目A） 問22

クロスサイトスクリプティング【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. 問題文でキーとなる語句を探す：「入力フィールド」「JavaScript」「Webアプリケーション」など。これらはXSSを示唆します。
2. 他の選択肢のキーワードと照合する：ネットワーク経由の不正アクセス、バッファ溢れ、パス名推定はそれぞれ別の攻撃を表します。
3. XSSの定義を思い出す：「Webページにスクリプトを注入して、利用者のブラウザでそれを実行させる攻撃」。該当する選択肢を選ぶ。

選択肢別の誤答解説

• ア: Webアプリケーションに用意された入力フィールドに、悪意のあるJavaScriptコードを含んだデータを入力する。
  • これはXSSの典型的な手口です。ユーザ入力を適切に無害化（サニタイズ）せずにそのまま表示すると、ブラウザがそのスクリプトを実行してしまいます。→ 正解
• イ: インターネットなどのネットワークを通じてサーバに不正にアクセスしたり、データの改ざんや破壊を行ったりする。
  • これは「不正アクセス」や「クラッキング」など、サーバ側への侵入や改ざんを指します。XSSは主にクライアント（利用者のブラウザ）上で悪影響を起こす点が異なります。
• ウ: 大量のデータをWebアプリケーションに送ることによって、用意されたバッファ領域をあふれさせる。
  • これは「バッファオーバーフロー（バッファ溢れ）」です。メモリ上の領域を越えて書き込ませ、プログラム制御を奪う攻撃で、XSSとは技術的に別物です。
• エ: パス名を推定することによって、本来は認証された後にしかアクセスが許可されないページに直接ジャンプする。
  • これは「予測可能なURLによる不正アクセス（直接オブジェクト参照の不備やディレクトリトラバーサル等）」に近い問題です。認可（アクセス権）の実装ミスを突く手口で、XSSではありません。

よくある誤解

• XSSは「サーバを壊す攻撃」だと考える誤解：XSSは多くの場合、サーバ自体を破壊するものではなく、利用者のブラウザで悪意あるスクリプトを実行させる攻撃です。被害は個々のユーザやセッション情報に及ぶことが多い点を押さえてください。
• XSSとSQLインジェクションを混同する：どちらも入力を悪用しますが、XSSはブラウザでのスクリプト実行を狙い、SQLインジェクションはデータベースへの不正操作を狙います。攻撃対象が異なります。
• 「入力を消せばいい」と単純化する誤解：入力を削除するのではなく、出力時に適切なエンコーディング（HTMLエスケープ）やサニタイズを行うことが重要です。

補足コラム

• XSSの種類（簡潔）
  • 反射型（Reflected XSS）：リンクなどに悪意のスクリプトを含ませ、ユーザがそのリンクを開くと即座に実行される。
  • 保管型／蓄積型（Stored/Persistent XSS）：掲示板やコメント欄などに悪意のスクリプトが保存され、閲覧者全員に影響する。被害範囲が広く危険。
  • DOM-based XSS：ページのクライアント側（ブラウザ内）で動作するスクリプトが不適切にデータを扱い、スクリプトを生成してしまうタイプ。
• 防御策（現場での実践例）
  • 出力時のエスケープ（HTMLエンコーディング）を徹底する。
  • Content Security Policy（CSP）を設定して、許可されたスクリプトのみ実行する。
  • クッキーに HttpOnly 属性を付けて、JavaScriptから読み取れないようにする（セッション盗用の防止）。
  • ユーザ入力を受け付ける機能は設計段階でセキュリティレビューを行う。外部委託する場合は、XSS対策の実施を契約に明記する。

FAQ