ホーム > システムアーキテクト試験 > 2018年
システムアーキテクト試験 2018年 午前2 問23
格納型クロスサイトスクリプティング（Stored XSS又はPersistent XSS）攻撃に訪当するものはどれか。
ア：Webサイト上の掲示板に攻撃用スクリプトを忍ばせた書込みを攻撃者が行い、その後に当該掲示板を閲覧した利用者のWebブラウザで、攻撃用スクリプトが実行された。（正解）
ウ：攻撃者が、乗っ取った複数のPC上でスクリプトを実行して大量のリクエストを攻撃対象のWebサイトに送り付け、サービス不能状態にした。
イ：Webブラウザへの応答を生成する処理に脆弱性のあるWebサイトに対して、不正なJavaScriptコードを含むリクエストを送信するリンクを攻撃者が用意し、そのリンクを利用者がクリックするように仕向けた。
エ：攻撃者がスクリプトを使って、送信元IPアドレスを攻撃対象のWebサイトのIPアドレスに装した大量のDNSリクエストを多数のDNSサーバに送信することによって、大量のDNSレスポンスを攻撃対象のWebサイトに送り付けるようにした。
解説
格納型クロスサイトスクリプティング（Stored XSS）攻撃に該当するものはどれか【午前2 解説】
要点まとめ
- 結論：格納型XSSは攻撃用スクリプトをWebサイトに保存し、閲覧者のブラウザで実行される攻撃です。
- 根拠：攻撃者が掲示板などに悪意あるスクリプトを投稿し、それを閲覧した利用者のブラウザで自動的に実行される点が特徴です。
- 差がつくポイント：格納型XSSは「攻撃スクリプトがサーバに保存される」ことと、「利用者が特別な操作をしなくてもスクリプトが実行される」点を理解することが重要です。
正解の理由
選択肢アは、攻撃者がWeb掲示板に悪意あるスクリプトを投稿し、その掲示板を閲覧した利用者のブラウザでスクリプトが実行される状況を示しています。これはまさに格納型クロスサイトスクリプティングの典型例です。攻撃スクリプトがサーバに保存され、閲覧者のブラウザで自動的に実行されるため、利用者が特別な操作をしなくても被害が発生します。
よくある誤解
格納型XSSと反射型XSSを混同し、攻撃スクリプトが保存されず即時実行される反射型XSSの説明を格納型XSSと誤認することがあります。
解法ステップ
- 「格納型XSS」の定義を確認する（攻撃スクリプトがサーバに保存されること）。
- 各選択肢の攻撃手法を読み、スクリプトが保存されるかどうかを判断する。
- 利用者の操作の有無（自動実行かリンククリックか）を確認する。
- 格納型XSSの特徴に合致する選択肢を選ぶ。
選択肢別の誤答解説
- ア: 攻撃用スクリプトを掲示板に保存し、閲覧者のブラウザで実行されるため正解。
- イ: 反射型XSSの説明。攻撃スクリプトは保存されず、利用者がリンクをクリックする必要がある。
- ウ: DDoS攻撃の説明であり、XSS攻撃とは異なる。
- エ: DNSアンプ攻撃の説明であり、XSS攻撃とは無関係。
補足コラム
クロスサイトスクリプティング（XSS）は大きく分けて「格納型（Stored）」「反射型（Reflected）」「DOMベース型」の3種類があります。格納型は攻撃スクリプトがサーバに保存されるため、被害範囲が広く、対策としては入力値の適切なサニタイズやエスケープ処理が重要です。
FAQ
Q: 格納型XSSと反射型XSSの違いは何ですか？
A: 格納型XSSは攻撃スクリプトがサーバに保存され、閲覧者のブラウザで自動実行されます。反射型XSSは攻撃スクリプトが保存されず、利用者が特定のリンクをクリックした時に実行されます。
A: 格納型XSSは攻撃スクリプトがサーバに保存され、閲覧者のブラウザで自動実行されます。反射型XSSは攻撃スクリプトが保存されず、利用者が特定のリンクをクリックした時に実行されます。
Q: 格納型XSSの対策は何ですか？
A: 入力値のサニタイズやエスケープ処理、コンテンツセキュリティポリシー（CSP）の導入が有効です。
A: 入力値のサニタイズやエスケープ処理、コンテンツセキュリティポリシー（CSP）の導入が有効です。
関連キーワード: クロスサイトスクリプティング, Stored XSS, Webセキュリティ, サニタイズ, エスケープ処理