ITパスポート 2012年 秋期 問60

クロスサイトスクリプティングの特徴に関する記述【ITパスポート 解説】

正解の理由

• ブラウザ（web browser）：ウェブページを見るためのソフト（例：Chrome、Safari）。
• スクリプト：ウェブページ上で動くプログラム（例：JavaScript）。

解法ステップ

1. 問題文からキーワードを探す：「悪意あるスクリプト」「Webブラウザに送ってしまう」「入力されたデータをそのまま」など。
2. XSSの定義を思い出す：攻撃者がHTMLやJavaScriptを注入し、他の利用者のブラウザで実行させる攻撃。
3. 選択肢と照合する：
   • スクリプトがブラウザ上で実行されることを説明しているものが該当。
4. 正しい選択肢を選ぶ：アが一致するため正解。

選択肢別の誤答解説

• ア（正解）
  • 利用者の入力に含まれる悪意あるスクリプトをそのまま返し、他の利用者のブラウザで実行されるという説明で、XSSそのものです。
• イ
  • 「入力の長さをチェックしていない」「長すぎるデータを送りつける」はバッファオーバーフロー（バッファオーバーラン）や、リソース枯渇による障害に関する記述です。XSSとは別の脆弱性です。
• ウ
  • 「有用なソフトに見せかけてインストールさせる」はトロイの木馬（Trojan horse：悪意あるソフトを正規ソフトに偽装する）の説明です。これもXSSとは異なります。
• エ
  • 「ワープロや表計算ソフトの操作手順を記録し実行する機能を悪用する」はマクロウイルス（officeのマクロ機能を悪用する攻撃）の説明です。XSSではありません。

よくある誤解

1. 「スクリプトがサーバで動く攻撃」と混同する
   • XSSは攻撃コードが利用者のブラウザで実行されます。サーバ側でコードが動く攻撃（例：サーバ上で任意コード実行される脆弱性）とは別です。
2. 「入力チェックだけで十分」と考える誤り
   • 入力チェックは重要ですが、表示時の「エスケープ（特殊文字の置換）」やコンテンツセキュリティポリシー（CSP）など多層防御が必要です。

補足コラム

• Stored XSS（保存型）: 悪意あるスクリプトがサーバに保存され、他の利用者が見ると実行される（掲示板やコメント欄など）。
• Reflected XSS（反射型）: 不正なスクリプトがURLやフォームを通じて送られ、その場でレスポンスに反映されて実行される（フィッシングリンクで多い）。
• DOM-based XSS（DOMベース）: ブラウザ側の処理（DOM操作）で直接スクリプトが実行される。

• 出力時にエスケープ（例：「<」を「<」に置き換える）を行う。
• 入力値の検証（想定外のタグや属性を拒否）。
• HTTPOnly属性付きのクッキーを使う（ブラウザのスクリプトからは閲覧不可にする）。
• Content Security Policy（CSP）で実行できるスクリプトの出所を制限する。

• 入力「」をそのまま出すと危険。
• エスケープして「<script>alert(1)</script>」と表示させれば、スクリプトは実行されず文字列として見える。

FAQ