情報セキュリティ
基本情報技術者試験｜あるWebサービスで二つの不具合が報告された。(1)商品レビュー投稿欄に入れたスクリプトがデータベースに保存され…
あるWebサービスで二つの不具合が報告された。(1)商品レビュー投稿欄に入れたスクリプトがデータベースに保存され、以後そのページを開いた全利用者のブラウザで実行される。(2)検索結果ページが、URLの検索語パラメータをそのまま画面に出力するため、細工したURLを踏ませた相手のブラウザだけでスクリプトが実行される。これらの攻撃の種別の理解として、最も適切なものはどれか。
イ(1)はサーバに残った内容が後続の閲覧者へ反復配信される型、(2)は要求の内容が同じ応答へその場で折り返される型である。
ア(1)も(2)も、利用者のログイン状態を悪用して外部サイトから意図しない更新要求を送り込ませる手口に当たる。
ウ(1)が要求その場で折り返される型、(2)がサーバに残り反復配信される型で、保存の有無と被害範囲の対応が逆になっている。
エ(1)はDB問合せ、(2)はファイルパスを狙う攻撃で、いずれもブラウザ上でのスクリプト実行を伴わない別系統である。
正解
イ．(1)はサーバに残った内容が後続の閲覧者へ反復配信される型、(2)は要求の内容が同じ応答へその場で折り返される型である。
XSSは入力されたスクリプトが他者のブラウザで実行される脆弱性で、(1)のように内容がサーバに保存され同じページを開く全員に繰り返し配信されるものを格納型（蓄積型）、(2)のように要求パラメータが応答にそのまま反射され細工URLを踏んだ被害者だけで実行されるものを反射型と区別する。被害の継続性と対象範囲が両者の違いを端的に表す。
?選択肢ごとの解説
イ ○XSSは入力されたスクリプトが他者のブラウザで実行される脆弱性で、(1)のように内容がサーバに保存され同じページを開く全員に繰り返し配信されるものを格納型（蓄積型）、(2)のように要求パラメータが応答にそのまま反射され細工URLを踏んだ被害者だけで実行されるものを反射型と区別する。被害の継続性と対象範囲が両者の違いを端的に表す。
ア ×これはCSRFの説明であり、利用者のログイン状態を悪用して意図しない更新要求を送らせる攻撃で、スクリプトがブラウザで実行される(1)(2)とは仕組みが異なる。
ウ ×格納型と反射型の対応が逆である。保存され全員に繰り返し配信される(1)が格納型、即時に反射される(2)が反射型であり、ウは説明が入れ替わっている。
エ ×(1)(2)はいずれもスクリプトがブラウザで実行されるXSSであり、データベース問合せを狙うSQLインジェクションやファイルパスを狙うディレクトリトラバーサルと…
情報セキュリティの他の問題
あるサイトの検索結果画面は、利用者がURLで渡した検索語を『〇〇の検索結果』という形でHTML本文にそのまま出力している。細…N社の掲示板サービスで、利用者が投稿した内容をそのままWebページに表示している。ある投稿を閲覧した別の利用者のブラウザ上で…W社のWebサービスでは、過去にXSSによりセッションCookieが盗まれる被害があった。XSSの修正と並行し、万一スクリプ…ある会員サイトの送金処理にCSRF対策としてトークンを導入することになった。開発者が以下の実装案を検討している。CSRF対策…あるWebアプリは、利用者が最初にアクセスした時点でセッションIDを発行し、その後ログインに成功してもセッションIDを変えず…あるWebアプリには、利用者が指定したURLの画像を取得してプレビュー表示する機能がある。攻撃者がこの機能に社内ネットワーク…あるWebアプリは、利用者が入力したホスト名に対してサーバ上でネットワーク疎通確認コマンドを実行し、その結果を画面に表示する…あるWebアプリは、利用者のブラウザに保存させた状態データを、サーバ受信時にそのままオブジェクトへ復元（デシリアライズ）して…
この問題の「深掘り・誤答の完全解説・覚え方」は、登録すると読めます。
基本情報技術者試験は全4,036問。公開しているのはその一部で、登録すると残りも一問ごとにAI解説つきで解けます。SRS暗記カード・全真模試・弱点診断まで。
登録は1分・クレジットカード不要。無料のまま練習・暗記カード・模試まで使えます。
作成・校閲：ukamiru編集部 · 基本情報技術者試験 過去問 · fe-b-sec-0098