ITストラテジスト試験 2018年 午前2 問24
問題文
格納型クロスサイトスクリプティング（Stored XSS又はPersistent XSS）攻撃に該当するものはどれか。
選択肢
ア：Webサイト上の掲示板に攻撃用スクリプトを忍ばせた書込みを攻撃者が行い、その後に当該掲示板を閲覧した利用者のWebブラウザで、攻撃用スクリプトが実行された。（正解）
イ：Webブラウザへの応答を生成する処理に脆弱性のあるWebサイトに対して、不正なJavaScriptコードを含むリクエストを送信するリンクを攻撃者が用意し、そのリンクを利用者がクリックするように仕向けた。
ウ：攻撃者が、乗っ取った複数のPC上でスクリプトを実行して大量のリクエストを攻撃対象のWebサイトに送り付け、サービス不能状態にした。
エ：攻撃者がスクリプトを使って、送信元IPアドレスを攻撃対象のWebサイトのIPアドレスに偽装した大量のDNSリクエストを多数のDNSサーバに送信することによって、大量のDNSレスポンスを攻撃対象のWebサイトに送り付けるようにした。
格納型クロスサイトスクリプティング（Stored XSS又はPersistent XSS）攻撃に該当するものはどれか。【午前2 解説】
要点まとめ
- 結論：格納型XSSは攻撃用スクリプトをWebサーバに保存し、閲覧者のブラウザで実行される攻撃です。
- 根拠：攻撃スクリプトが掲示板などに書き込まれ、後から閲覧者がアクセスするとスクリプトが実行されるため持続的な攻撃が可能です。
- 差がつくポイント：格納型XSSは攻撃コードがサーバ側に保存される点で、リクエスト時のみ発生する反射型XSSと明確に区別されます。
正解の理由
アは、攻撃者が掲示板に悪意あるスクリプトを投稿し、その後閲覧者のブラウザでスクリプトが実行されるため、格納型XSSの典型例です。攻撃コードがサーバに保存されるため、複数の利用者に影響を及ぼします。
よくある誤解
反射型XSSと混同し、攻撃コードがサーバに保存されない攻撃を格納型XSSと誤認することがあります。格納型は持続的に攻撃コードが残る点が特徴です。
解法ステップ
- 問題文の「格納型クロスサイトスクリプティング」の定義を確認する。
- 格納型XSSは攻撃コードがサーバに保存されることを理解する。
- 選択肢の中で攻撃コードがサーバに保存され、閲覧者のブラウザで実行されるものを探す。
- アは掲示板にスクリプトを書き込み、閲覧者のブラウザで実行されるため正解と判断する。
- 他の選択肢は反射型XSSやDDoS攻撃など異なる攻撃手法であることを確認する。
選択肢別の誤答解説
- ア：正解。攻撃スクリプトがサーバに保存され、閲覧者のブラウザで実行される典型的な格納型XSS。
- イ：反射型XSSの説明。攻撃コードはリクエストに含まれ、サーバに保存されない。
- ウ：DDoS攻撃の説明。大量リクエストでサービスを妨害するがXSSではない。
- エ：DNSリフレクション攻撃の説明。IP偽装を使ったDDoS攻撃の一種でXSSとは無関係。
補足コラム
クロスサイトスクリプティング（XSS）は大きく分けて「格納型」「反射型」「DOMベース型」の3種類があります。格納型は攻撃コードがサーバに保存されるため、被害が広範囲に及びやすく、対策としては入力値の適切なサニタイズやエスケープ処理が重要です。
FAQ
Q: 格納型XSSと反射型XSSの違いは何ですか？
A: 格納型は攻撃コードがサーバに保存され、複数の利用者に影響します。反射型は攻撃コードがリクエストに含まれ、一時的に実行される攻撃です。
A: 格納型は攻撃コードがサーバに保存され、複数の利用者に影響します。反射型は攻撃コードがリクエストに含まれ、一時的に実行される攻撃です。
Q: 格納型XSSの対策は何ですか？
A: ユーザ入力のサニタイズやエスケープ処理、コンテンツセキュリティポリシー（CSP）の導入が効果的です。
A: ユーザ入力のサニタイズやエスケープ処理、コンテンツセキュリティポリシー（CSP）の導入が効果的です。
関連キーワード: クロスサイトスクリプティング、格納型XSS, セキュリティ脆弱性、Webセキュリティ、サニタイズ、エスケープ処理