平成27年度 秋期 応用情報技術者試験 午前 問36

• ア: 攻撃者が，スクリプトを用いてWebサイトのOSコマンドを呼び出し，…不正操作をする。
  誤り。OSコマンドインジェクションの説明です。

• イ: 攻撃者が，スクリプトを用いて特定のPCへ大量に接続要求を送り出し，通信機能を停止させる。
  誤り。DoS攻撃（SYNフラッド攻撃など）の説明です。

• ウ: 攻撃者が用意したスクリプトでWebサイトのサービスポートに順次アクセスし，…弱点を探し出す。
  誤り。ポートスキャンの説明です。

• エ: 攻撃者が用意したスクリプトを，閲覧者のWebブラウザを介して脆弱なWebサイトに送り込み，閲覧者のWebブラウザ上でスクリプトを実行させる。
  正しい。クロスサイトスクリプティング（XSS）は，入力値を適切にエスケープせずに出力するWebサイトの脆弱性を悪用し，罠のリンクなどを通じて閲覧者のブラウザからスクリプトを送り込み，その応答ページ上で閲覧者のブラウザにスクリプトを実行させる攻撃です。Cookieの窃取などに悪用されます。

答え

エ: 攻撃者が用意したスクリプトを，閲覧者のWebブラウザを介して脆弱なWebサイトに送り込み，閲覧者のWebブラウザ上でスクリプトを実行させる。