令和3年度 春期 システムアーキテクト試験 午前Ⅱ 問17
テクノロジセキュリティ技術Webアプリケーション・ソフトウェアの脆弱性
格納型クロスサイトスクリプティング（Stored XSS又はPersistent XSS）攻撃に該当するものはどれか。
解答・解説
正解: ア. Webサイト上の掲示板に攻撃用スクリプトを忍ばせた書込みを攻撃者が行うことによって，その後に当該掲示板を閲覧した利用者のWebブラウザで，攻撃用スクリプトが実行された。
格納型クロスサイトスクリプティング（Stored XSS又はPersistent XSS）とは、攻撃者が用意した悪意のあるスクリプトが、Webサイトのデータベースや掲示板などに永続的に保存（格納）され、それを閲覧した一般の利用者のブラウザ上で実行される攻撃手法です。
アの「Webサイト上の掲示板に攻撃用スクリプトを忍ばせた書込み」がサーバーに保存され、「閲覧した利用者のWebブラウザで実行された」という記述は、まさに格納型XSSの典型的な例です。したがって、アが正解です。
各選択肢の解説
- ア：正解。格納型クロスサイトスクリプティング（Stored XSS）の説明です。
- イ：反射型クロスサイトスクリプティング（Reflected XSS）の説明です。攻撃者が用意した不正なスクリプトを含むリンクを利用者にクリックさせることで、リクエストに含まれるスクリプトがサーバーからの応答にそのまま含まれ（反射され）、利用者のブラウザ上で実行される手法です。
- ウ：ボットネット等を利用したDDoS攻撃（分散型サービス拒否攻撃）の説明です。大量のリクエストを送りつけてサーバーリソースを枯渇させ、サービス不能状態に陥らせる手法です。
- エ：DNSリフレクション攻撃（DNSアンプ攻撃）の説明です。送信元IPアドレスを攻撃対象のものに偽装した問い合わせをDNSサーバーに送信し、増幅された大量のDNSレスポンスを攻撃対象に送りつけるDDoS攻撃の一種です。