出典：平成28年度 春期 情報セキュリティマネジメント試験（SG） 午前 問21
難易度設定
予備知識
| 用語 | 意味 |
|---|---|
| クロスサイトスクリプティング | 悪い人がホームページにイタズラする→訪問者がホームページを見る→被害に遭う、な流れの攻撃のこと。あるいはそれが可能になっている状態 |
| データ操作言語 | データベースに対する命令の分類のひとつで、データを検索・登録・更新・削除するときに使う命令。select文とかinsert文とかのこと |
| SQL | データベースと やり取りするときに使う言葉 |
| Webサイト | ホームページのこと……というのは厳密には違いますが、ホームページのことだと思って良いです |
| Webアプリケーション | 主要な処理をする部分がインターネットの世界にあって、インターネットを介して使う仕組みになっているソフト |
| サーバ | サービスや機能を提供する側のコンピュータ |
| Webサーバ | ホームページ関連の仕事をしているサーバ |
| パケット | 通信用に細切れにしたデータ |
| トラフィック | ネットワーク上を流れる情報（量） |
| SQLインジェクション | 穴埋めになっているSQL文の穴埋め部分に、作った人が意図しない内容を入れることによって、おかしな動きをさせること。もしくは、それができるようになっている状態 |
| DoS攻撃 | 相手の仕事をいっぱい増やしてテンパらせることで、サービスを続けられないようにする嫌がらせ |
| バッファオーバーフロー | 「これくらい入れるかな～」と思って確保していた領域よりもたくさん入れちゃって、入りきらなかった状態 |
| バッファオーバーフロー攻撃 | 確保している領域よりも大きなデータを入れて誤作動させてやるぜ！攻撃 |
問題
| 問題文 |
|---|
| クロスサイトスクリプティングに該当するものはどれか。 |
| ピヨ意訳：クロスサイトスクリプティングに該当するのは、どれ？ |
| 解答選択肢 | |
|---|---|
| ア | Webアプリケーションのデータ操作言語の呼出し方に不備がある場合に，攻撃者が悪意をもって構成した文字列を入力することによって，データベースのデータの不正な取得，改ざん及び削除を可能とする。 |
| ピヨ意訳：SQL文の作り方に不備があった場合に、変な文字列を入れることによって、データを不正に取得したり改ざんしたり削除したりする攻撃 | |
| イ | Webサイトに対して，他のサイトを介して大量のパケットを送り付け，そのネットワークトラフィックを異常に高めてサービスを提供不能にする。 |
| ピヨ意訳：ホームページに対してデータをいっぱい送り付け、お仕事量を異常なくらい増やして、サービスを提供できなくする攻撃 | |
| ウ | 確保されているメモリ空間の下限又は上限を超えてデータの書込みと読出しを行うことによって，プログラムを異常終了させたりデータエリアに挿入された不正なコードを実行させたりする。 |
| ピヨ意訳：確保されているメモリの大きさよりも大きいデータを突っ込んで、おかしな状態にする攻撃 | |
| エ | 攻撃者が罠(わな)を仕掛けたWebページを利用者が閲覧し，当該ページ内のリンクをクリックしたときに，不正スクリプトを含む文字列が脆弱なWebサーバに送り込まれ，レスポンスに埋め込まれた不正スクリプトの実行によって，情報漏えいをもたらす。 |
| ピヨ意訳：罠が仕掛けられたホームページを見た人がリンクをポチっと押したときに変な文字列がWebサーバに送られて、それがあれやこれやして変なプログラムが実行されて、情報が漏えいする攻撃 | |
正解
| 正解 | |
|---|---|
| エ | 攻撃者が罠(わな)を仕掛けたWebページを利用者が閲覧し，当該ページ内のリンクをクリックしたときに，不正スクリプトを含む文字列が脆弱なWebサーバに送り込まれ，レスポンスに埋め込まれた不正スクリプトの実行によって，情報漏えいをもたらす。 |
| ピヨ意訳：罠が仕掛けられたホームページを見た人がリンクをポチっと押したときに変な文字列がWebサーバに送られて、それがあれやこれやして変なプログラムが実行されて、情報が漏えいする攻撃 | |
ピヨピヨ解説
クロスサイトスクリプティングは
悪い人がホームページにイタズラする
↓
訪問者がホームページを見る
↓
被害に遭う
な流れで行われる悪いこと、もしくは、それが可能になっている状態です。
それを踏まえて、それぞれの選択肢を見ていきましょう。
「ア：Webアプリケーションのデータ操作言語の呼出し方に不備がある場合に，攻撃者が悪意をもって構成した文字列を入力することによって，データベースのデータの不正な取得，改ざん及び削除を可能とする。」はクロスサイトスクリプティングの説明では ありません。
これは「SQLインジェクション」の説明です。
「イ：Webサイトに対して，他のサイトを介して大量のパケットを送り付け，そのネットワークトラフィックを異常に高めてサービスを提供不能にする。」もクロスサイトスクリプティングの説明では ありません。
これは「DoS攻撃」の説明です。
「ウ：確保されているメモリ空間の下限又は上限を超えてデータの書込みと読出しを行うことによって，プログラムを異常終了させたりデータエリアに挿入された不正なコードを実行させたりする。」もクロスサイトスクリプティングの説明では ありません。
これは「バッファオーバーフロー攻撃」の説明です。
「エ：攻撃者が罠(わな)を仕掛けたWebページを利用者が閲覧し，当該ページ内のリンクをクリックしたときに，不正スクリプトを含む文字列が脆弱なWebサーバに送り込まれ，レスポンスに埋め込まれた不正スクリプトの実行によって，情報漏えいをもたらす。」はクロスサイトスクリプティングの説明です。
ごちゃごちゃ書いてありますが「攻撃者が罠(わな)を仕掛けたWebページ」を「利用者が閲覧し」その結果「情報漏えいをもたらす」攻撃です。
悪い人がホームページにイタズラする
↓
訪問者がホームページを見る
↓
被害に遭う
な流れですよね。
ということで「エ：攻撃者が罠(わな)を仕掛けたWebページを利用者が閲覧し，当該ページ内のリンクをクリックしたときに，不正スクリプトを含む文字列が脆弱なWebサーバに送り込まれ，レスポンスに埋め込まれた不正スクリプトの実行によって，情報漏えいをもたらす。」が正解です。
