平成24年度 秋期 （特別措置試験） 問60

✓ これが正解アWeb サイトに入力されたデータに含まれる悪意あるスクリプトを，そのまま Web ブラウザに送ってしまうという脆弱性を利用する。

解説

入れられた命令を、そのまま返してしまう弱みを突きます。

設問はクロスサイトスクリプティングの特徴を問いました。この攻めは、入れた中身をそのまま返す弱みを突きます。入力の欄に、悪意のある小さな命令を紛れ込ませました。受け取った側が、それを確かめずにページへ書き戻します。するとブラウザが、その命令を動かしてしまいました。だから入れられた命令をそのまま送ると述べた肢が当たります。パスワードや滞在の印が抜き取られる被害につながりました。防ぐには、返す前に印の働きを消しておきます。長さを確かめずに長い中身を送り付ける攻めは、別の名でした。あふれさせて、置いてはいけない場所を書き換えます。役に立つソフトウェアに見せかけて入れ込む手口も、別の攻めです。文書の作成の道具に備わる自動の手順を悪用する攻めも別でした。突く先で名が変わります。シラバスも、この攻めの名を並べて挙げています。

ほかの選択肢はなぜ違うのか

• イ入力されたデータの長さをチェックしていな…：長すぎる中身を送り付ける肢のほうです。受け止める入れ物からあふれさせます。あふれた先を書き換えて乗っ取る手口でした。命令をページへ返させる攻めではありません。突いている弱みが違います。ページを経由して動かす攻めでもありません。
• ウ有用なソフトウェアに見せかけて利用者にイ…：役に立つソフトウェアに見せかける肢が、こちらに当たります。利用者に自ら入れさせて、内側へ入り込みました。だます手口としてはよく知られています。ただしページを経由する攻めではありません。入り口が別にありました。ページの弱みを突きません。
• エワープロソフトや表計算ソフトの操作手順を…：自動の手順を悪用する肢というのが、こちらです。文書や表の道具に備わる働きを使いました。開いただけで動いてしまうところが厄介です。けれどもブラウザの話ではありません。舞台が別でした。ブラウザを通らずに、その場で動きました。