平成30年度 春期 午前 問37

✓ これが正解アWeb アプリケーションのフォームの入力フィールドに，悪意のある JavaScript コードを含んだデータを入力する。

解説

入力欄にスクリプトを仕込みます。

設問は、クロスサイトスクリプティングの手口を選ばせています。軸は、攻撃の名前を日本語に割って、どこに何を入れるのかを作ることです。後半のスクリプティングはスクリプトを仕込むという意味なので、入力欄に JavaScript のコードを含んだデータを入れるという肢がそのまま当たります。仕込まれたコードは、そのページを見に来た別の利用者のブラウザで動きます。攻撃者のページを経由して被害者に届くという経路から、サイトをまたぐという前半の名が付いています。盗まれるのは主に利用者を識別する情報で、それを使ったなりすましにつながります。防ぎ方は出力するときに記号を無害な表記へ置き換えることです。四つの肢のうちスクリプトが出てくるのは一つだけなので、知識を思い出す前に名前だけで切れます。なおどの攻撃にも当てはまる広い書き方の肢は、この型の問では外れる側に置かれます。

ほかの選択肢はなぜ違うのか

• イインターネットなどのネットワークを通じて…：ネットワークを通じて不正にアクセスし、改ざんや破壊を行うという説明です。クラッキング全般を指す広い言い方で、名前の要素が一つも入りません。
• ウ大量のデータを Web アプリケーション…：大量のデータを送り、用意された領域をあふれさせる手口です。あふれさせるのは領域であって、他の利用者のもとで動く仕掛けを置くわけではありません。
• エパス名を推定することによって，本来は認証…：パス名を推測し、本来は認証の後にしか見られないページへ直接飛ぶ手口です。入り口を飛び越える話で、仕掛けを仕込む話ではありません。