情報セキュリティマネジメント 2016年 春期 午前（科目A） 問21

クロスサイトスクリプティング【情報セキュリティマネジメント解説】

正解の理由

解法ステップ

1. まず「何が実行されるか」を探す。攻撃で「スクリプトが利用者のブラウザで実行される」と書かれていればXSSを疑う。
2. 次に「攻撃の対象はどこか」を見る。データベースが直接狙われるならSQLインジェクション、ネットワーク帯域を狙うならDDoS、プログラムのメモリを狙うならバッファオーバーフロー。
3. 用語チェック：スクリプト、レスポンスに埋め込まれる、閲覧者のブラウザ、これらが揃えばXSSと判断する。
4. 選択肢を一つずつ当てはめて、一番一致するものを選ぶ。

• 「スクリプト」「ブラウザで実行」「レスポンスに埋め込まれる」「情報漏えい」の語があるか → XSS
• 「データベース」「SQL」「データ操作言語」→ SQLインジェクション
• 「大量のパケット」「サービス提供不能」→ DDoS
• 「メモリ」「下限・上限を超える」「不正なコードを実行」→ バッファオーバーフロー

選択肢別の誤答解説

• ア：これはSQLインジェクションの説明です。SQL（Structured Query Language：データベース操作言語）を悪用して、入力欄などに悪意あるSQL文を入れ、データベースの不正取得・改ざん・削除を行います。攻撃の主対象が「データベース」である点でXSSと異なります。
• イ：大量のパケットを送ってネットワークやサービスを停止させる行為はDDoS（Distributed Denial of Service：分散サービス拒否攻撃）です。攻撃の目的が「可用性の低下」であり、ブラウザ上でスクリプトが実行されるタイプの攻撃ではありません。
• ウ：メモリ領域の境界を越えて読み書きする説明はバッファオーバーフロー（バッファ溢れ）です。主にプログラムの脆弱性（C言語等での領域管理不備）を突き、直接サーバ側で異常終了や任意コード実行を引き起こします。ブラウザでスクリプトが実行されるという点がないためXSSとは別物です。
• エ：前述の通り、Webページに仕掛けをして利用者のブラウザで不正スクリプトを実行させ、情報漏えいを引き起こす説明はXSSそのものです。XSSには反射型（reflected）、格納型（stored）、DOM型（DOM-based）などの種類がありますが、選択肢の状況説明は典型的なXSSを表しています。

よくある誤解

• XSSとSQLインジェクションを混同する：どちらも「入力を悪用する攻撃」ですが、狙う場所や被害の現れ方が違います（ブラウザ実行とデータベース操作）。
• XSSは必ずしもサーバを改ざんする必要があるわけではない：脆弱な出力処理（エスケープ不足）だけで成立します。
• 「ユーザがクリックしないと発動しない」は誤り：格納型XSSは被害者が脆弱なページを閲覧するだけで自動的に実行されます。

補足コラム

• 開発側：入力値の検証（入力検証）と出力時のエスケープ（出力エスケープ）を徹底します。出力エスケープとは、HTMLに埋め込む際に特殊文字を無害化する処理です。
• インフラ／運用側：WAF（Web Application Firewall：Webアプリケーション向けの防御装置）を導入し、既知の攻撃パターンをブロックします。
• ブラウザ制御：CSP（Content Security Policy：コンテンツセキュリティポリシー）を設定して、外部スクリプトやインラインスクリプトの実行を制限します。
• Cookie対策：HttpOnly（JavaScriptから参照不可にするフラグ）やSameSite属性（クロスサイト送信の制御）を使い、クッキーの漏えいリスクを下げます。
• 検査と教育：定期的な脆弱性スキャン、コードレビュー、開発者へのセキュリティ教育を行います。

• 悪意あるリンク：?q= のようなパラメータを作り、それをそのままページに書き出すとブラウザで実行される。これが反射型XSSの典型です。

FAQ