平成30年度 秋期 午前Ⅱ 問23

✓ これが正解アWebサイト上の掲示板に攻撃用スクリプトを忍ばせた書込みを攻撃者が行い，その後に当該掲示板を閲覧した利用者のWebブラウザで，攻撃用スクリプトが実行された。

解説

掲示板に保存したスクリプトを後の閲覧者のブラウザで実行させる攻撃です。

格納型クロスサイトスクリプティングは、攻撃者が攻撃用のスクリプトを Web サイトの掲示板などに書き込んでサーバに保存させ、そのページを後から閲覧した利用者の Web ブラウザでスクリプトを実行させる攻撃です。スクリプトがサーバ側に格納されるので、攻撃者が利用者に罠のリンクを踏ませなくても、ページを見るだけの利用者が次々に被害を受けます。掲示板に忍ばせた書込みを後から閲覧した利用者のブラウザで実行させたという事例が、この形に当たります。見分けるときは、スクリプトがサーバに保存されるのか、リクエストに含めてその場で返させるのかに注目します。

ほかの選択肢はなぜ違うのか

• イWebブラウザへの応答を生成する処理に脆…：不正な JavaScript を含むリクエストを送るリンクを用意し、利用者にクリックさせる手口では、スクリプトはサーバに保存されません。リンクを踏んだ利用者への応答の中でその場で返されるので、格納型には当たりません。
• ウ攻撃者が，乗っ取った複数のPC上でスクリ…：乗っ取った複数の PC から大量のリクエストを送り付けてサービス不能にするのは、DDoS 攻撃です。Web ブラウザでスクリプトを実行させる攻撃ではなく、サーバの処理能力を使い果たさせる攻撃です。
• エ攻撃者がスクリプトを使って，送信元IPア…：送信元を攻撃対象に偽装した DNS の問合せを多数の DNS サーバに送り、応答を集中させるのは、リフレクション攻撃と呼ばれる DDoS の手口です。利用者のブラウザでスクリプトを実行させる攻撃ではありません。