クロスサイトスクリプティングとは，Webサイトの脆弱性を利用した攻撃である。クロスサイトスクリプティングに関する記述として，適切なものはどれか。
- アWebページに，ユーザの入力データをそのまま表示するフォーム又は処理があるとき，第三者が悪意あるスクリプトを埋め込むことでクッキーなどのデータを盗み出す。
- イサーバとクライアント間の正規のセッションに割り込んで，正規のクライアントに成りすますことで，サーバ内のデータを盗み出す。
- ウデータベースに連携しているWebページのユーザ入力領域に悪意あるSQLコマンドを埋め込み，サーバ内のデータを盗み出す。
- エ電子メールを介して偽のWebサイトに誘導し，個人情報を盗み出す。
正解と解説を見る
正解
ア Webページに，ユーザの入力データをそのまま表示するフォーム又は処理があるとき，第三者が悪意あるスクリプトを埋め込むことでクッキーなどのデータを盗み出す。
クロスサイトスクリプティング（XSS）は、入力データをそのままページに表示するWebサイトの脆弱性を悪用し、第三者が悪意あるスクリプトを埋め込んでクッキーなどの情報を盗み出す攻撃であるため、アが正解である。イはセッションハイジャック（セッション乗っ取り）の説明であり、正規の通信に割り込んで成りすます攻撃を指す。ウはSQLインジェクションの説明であり、入力欄に不正なSQL文を埋め込みデータベースを不正操作する攻撃である。エはフィッシングの説明であり、メールで偽サイトへ誘導して個人情報を詐取する手口である。攻撃対象と手口の違いを整理して覚えることが重要である。