令和3年度 春期 ITストラテジスト試験 午前Ⅱ 問23
テクノロジセキュリティ技術Webアプリケーション・ソフトウェアの脆弱性
格納型クロスサイトスクリプティング（Stored XSS 又は Persistent XSS）攻撃に該当するものはどれか。
解答・解説
正解: ア. Webサイト上の掲示板に攻撃用スクリプトを忍ばせた書込みを攻撃者が行うことによって，その後に当該掲示板を閲覧した利用者のWebブラウザで，攻撃用スクリプトが実行された。
格納型クロスサイトスクリプティング（Stored XSS、またはPersistent XSS）は、攻撃者がWebアプリケーションのデータベースや掲示板などに悪意のあるスクリプトを保存（格納）させ、他の利用者がそのページを閲覧した際に利用者のブラウザ上でスクリプトが実行される攻撃手法です。
正解である「ア」は、掲示板への書き込みという形で攻撃用スクリプトがWebサイトに保存され、後から閲覧した利用者のブラウザ上で実行されているため、格納型クロスサイトスクリプティングの適切な説明です。
各選択肢の解説
- ア: 正解。掲示板などのWebサイト上に攻撃用スクリプトを保存（格納）させ、それを閲覧した利用者のブラウザ上でスクリプトを実行させる攻撃であり、格納型クロスサイトスクリプティングに該当します。
- イ: 攻撃者が用意した不正なリンクを利用者にクリックさせ、脆弱なWebサイトを経由して利用者のブラウザ上でスクリプトを実行させる攻撃です。これは反射型クロスサイトスクリプティング（Reflected XSS）に該当します。
- ウ: 乗っ取った多数のPCから一斉に大量のリクエストを送信し、Webサイトをサービス不能状態にする攻撃です。これはDDoS攻撃（分散型サービス不能攻撃）に該当します。
- エ: 送信元IPアドレスを攻撃対象のIPアドレスに偽装したDNSリクエストを多数のDNSサーバに送信し、大量のDNSレスポンスを攻撃対象に送り付ける攻撃です。これはDNSアンプ攻撃（DNSリフレクション攻撃）に該当します。