令和3年度 春期 午前Ⅱ 問23

✓ これが正解アWebサイト上の掲示板に攻撃用スクリプトを忍ばせた書込みを攻撃者が行うことによって，その後に当該掲示板を閲覧した利用者のWebブラウザで，攻撃用スクリプトが実行された。

解説

掲示板の書込みに忍ばせたスクリプトが、閲覧者のブラウザで実行されます。

クロスサイトスクリプティングは、Webサイトの脆弱性を突いて、攻撃者が用意したスクリプトを利用者のWebブラウザで実行させる攻撃です。見分ける軸は、攻撃用スクリプトがどこに置かれ、どのように利用者に届くかです。格納型では、攻撃者がスクリプトを含む内容を掲示板への書込みなどの形でWebサイト上に保存させます。保存された内容は、その後ページを開いた利用者に表示されるたびにブラウザで実行されるので、攻撃者が利用者をリンクに誘導しなくても、閲覧しただけで被害が広がります。掲示板への書込みを閲覧した利用者のブラウザでスクリプトが実行されたという事例は、この格納型に当たります。スクリプトがサーバに保存されて何度も配られるのが格納型、と押さえると見分けられます。

ほかの選択肢はなぜ違うのか

• イWebブラウザへの応答を生成する処理に脆…：不正な JavaScript を含むリクエストを送るリンクを用意し、利用者にクリックさせる事例は、リクエストに含まれたスクリプトが応答にそのまま返されて実行されるタイプのクロスサイトスクリプティングです。スクリプトはサイトに保存されないので、格納型ではありません。
• ウ攻撃者が，乗っ取った複数のPC上でスクリ…：乗っ取った複数の PC から大量のリクエストを送り付けてサービス不能にする事例は、DDoS攻撃の説明です。利用者のブラウザでスクリプトを実行させる攻撃ではなく、クロスサイトスクリプティングとは種類が異なります。
• エ攻撃者がスクリプトを使って，送信元IPア…：送信元を攻撃対象に偽装した DNS リクエストを多数の DNS サーバに送り、その応答を攻撃対象に集中させる事例は、DNS の応答を利用してサービスを妨害する攻撃です。利用者のブラウザでスクリプトを実行させる攻撃ではありません。