平成 30 年度 秋期 システムアーキテクト試験 午前Ⅱ 問題 問23
テクノロジセキュリティ技術Webアプリケーション・ソフトウェアの脆弱性
格納型クロスサイトスクリプティング（Stored XSS又はPersistent XSS）攻撃に該当するものはどれか。
解答・解説
正解: ア. Webサイト上の掲示板に攻撃用スクリプトを忍ばせた書込みを攻撃者が行い，その後に当該掲示板を閲覧した利用者のWebブラウザで，攻撃用スクリプトが実行された。
正解は ア です。
クロスサイトスクリプティング（XSS） は、動的にWebページを生成するアプリケーションの脆弱性を悪用し、悪意のあるスクリプトを利用者のWebブラウザ上で実行させる攻撃です。
そのうち 格納型クロスサイトスクリプティング（Stored XSS / Persistent XSS） は、掲示板やコメント欄、ユーザープロフィールなど、Webサーバ側のデータベース等にデータが保存（格納）される機能において、攻撃者が悪意のあるスクリプトを書き込み、そのページを閲覧した不特定多数の利用者のWebブラウザでスクリプトを実行させる攻撃手法を指します。
したがって、掲示板に攻撃用スクリプトを書き込み、閲覧者のWebブラウザで実行させる ア が該当します。
各選択肢の解説
- ア：正解。攻撃用スクリプトがWebサーバ側（掲示板）に格納され、それを閲覧した利用者のブラウザで実行されるため、格納型XSSに該当します。
- イ：誤り。不正なスクリプトを含むリンクを踏ませ、リクエストに対する応答（レスポンス）にそのスクリプトがそのまま含まれて実行される手法であり、反射型クロスサイトスクリプティング（Reflected XSS） に該当します。
- ウ：誤り。乗っ取った複数のコンピュータ（ボットネットなど）から大量のリクエストを送り付けてサービスを妨害する手法であり、DDoS攻撃（分散型サービス不能攻撃） に該当します。
- エ：誤り。送信元IPアドレスを攻撃対象に偽装して多数のDNSサーバにリクエストを送り、増幅された大量のレスポンスを標的に送り付ける手法であり、DNSリフレクター攻撃（DNSアンプ攻撃） に該当します。