クロスサイトスクリプティングに関する記述として，適切なものはどれか。
- アWebサイトの運営者が意図しないスクリプトを含むデータであっても，利用者のブラウザに送ってしまう脆弱性を利用する。
- イWebページの入力項目にOSの操作コマンドを埋め込んでWebサーバに送信し，サーバを不正に操作する。
- ウ複数のWebサイトに対して，ログインIDとパスワードを同じものに設定するという利用者の習性を悪用する。
- エ利用者に有用なソフトウェアと見せかけて，悪意のあるソフトウェアをインストールさせ，利用者のコンピュータに侵入する。
正解と解説を見る
正解
ア Webサイトの運営者が意図しないスクリプトを含むデータであっても，利用者のブラウザに送ってしまう脆弱性を利用する。
正解は「Webサイトの運営者が意図しないスクリプトを含むデータであっても、利用者のブラウザに送ってしまう脆弱性を利用する」であり、これがクロスサイトスクリプティング（XSS）の本質的な仕組みである。「Webページの入力項目にOSの操作コマンドを埋め込んでWebサーバに送信し、サーバを不正に操作する」はOSコマンドインジェクションの説明である。「複数のWebサイトに対して、ログインIDとパスワードを同じものに設定するという利用者の習性を悪用する」はパスワードリスト攻撃の説明である。「利用者に有用なソフトウェアと見せかけて、悪意のあるソフトウェアをインストールさせ、利用者のコンピュータに侵入する」はトロイの木馬の説明であり、いずれもXSSとは異なる攻撃手法である。