【伝送交換主任技術者】過去問準拠 予想演習 問005 解説｜思考ルート
Webアプリケーションの脆弱性および代表的な攻撃手法であるSQLインジェクション、クロスサイトスクリプティング、ディレクトリトラバーサルのメカニズムと対策に関する記述として、最も不適切なものはどれか。
※本問は、過去の出題傾向・頻出論点をAI分析して作成した「過去問準拠の予想演習問題」です。
予想演習 No.005
Webアプリケーションの脆弱性および代表的な攻撃手法であるSQLインジェクション、クロスサイトスクリプティング、ディレクトリトラバーサルのメカニズムと対策に関する記述として、最も不適切なものはどれか。
選択肢
クロスサイトスクリプティング（XSS）攻撃は、攻撃者がWebサーバ上の機密ファイル群に直接アクセスしてシステムのソースコードを書き換え、Webサーバ上で悪意あるスクリプトを直接実行させる攻撃手法である。
ディレクトリトラバーサルの攻撃手法では、利用者がファイル名を指定する際に攻撃者が相対パスを悪用して本来アクセスが許可されていないシステム内部の機密ファイルに不正アクセスを試みる。
SQLインジェクションは、データベースと連携したWebアプリケーションにおいて入力欄に悪意あるSQL文を埋め込むことでデータベースを不正操作・搾取する攻撃であり、プレースホルダの利用が有効な対策となる。
クロスサイトスクリプティングに対する有効な対策の一つとして、Webページに出力する際に入力値に含まれるHTMLの特殊文字を適切に別の文字列に置き換えるエスケープ処理が挙げられる。
正解と解説（思考ルート）
【正解】 選択肢 1
■【設問の意図と背景】
Webセキュリティにおける各種脆弱性の攻撃メカニズム、攻撃の実行場所、および根本的な制定背景・趣旨を深く理解しているかを問う。
■【正解の根拠とメカニズム】
クロスサイトスクリプティング（XSS）は、Webサーバ上でスクリプトを実行する攻撃ではなく、被害を受けるユーザの「Webブラウザ上」で悪意あるスクリプトを実行させる攻撃手法である。サーバ側が不適切な出力をすることでブラウザが誤認して実行してしまうメカニズムに基づいている。
■【各選択肢の徹底検証】
・選択肢1：XSSの実行場所をWebサーバ上とし、ソースコードを書き換えるとしている点は明確な誤りである。
・選択肢2：ディレクトリトラバーサルが相対パスを利用してシステム内部のファイルにアクセスする攻撃であるという説明は正しい。
・選択肢3：SQLインジェクションの仕組みとプレースホルダによる対策は正しい。
・選択肢4：XSS対策としてのエスケープ処理の有効性についての説明は正しい。
■【本番での即断ポイント】
クロスサイトスクリプティングの攻撃実行場所が「Webブラウザ上」であるか「サーバ上」であるかは頻出のひっかけポイントであり、サーバ上で実行されるとする記述は無条件で誤りと判断する。
スマホで全100問をランダム演習・弱点管理しませんか？
「思考ルート」のWeb演習アプリなら、伝送交換主任技術者をはじめとする難関資格の過去問準拠・予想演習を、スマホやPCで100問まで完全無料でお試し演習できます。