【伝送交換主任技術者】過去問準拠 予想演習 問017 解説｜思考ルート
Webアプリケーションの脆弱性およびそのセキュリティ対策に関する記述のうち、最も不適切なものはどれか。
※本問は、過去の出題傾向・頻出論点をAI分析して作成した「過去問準拠の予想演習問題」です。
予想演習 No.017
Webアプリケーションの脆弱性およびそのセキュリティ対策に関する記述のうち、最も不適切なものはどれか。
選択肢
ディレクトリトラバーサル攻撃は、攻撃者がWebアプリケーションに対してURLやファイル名に相対パスの文字列を悪用し、本来アクセス権限のないシステム内部の機密ファイルを不正に閲覧する手法であり、ファイル名にパスを含めない設計やアクセス権限の厳格化が有効な対策となる。
SQLインジェクション攻撃は、データベースと連携するWebアプリケーションの入力欄に悪意あるSQL文を混入させ、データベースを不正に操作・搾取する脆弱性であり、SQL文の構造を動的生成する際にプレースホルダを使用することが根本的な対策となる。
クロスサイトスクリプティング（XSS）は、脆弱性のあるWebページに悪意あるスクリプトを埋め込み、それを閲覧した被害者のWebブラウザ上でそのスクリプトを実行させる攻撃であり、出力時の特殊文字のエスケープ処理が有効な対策となる。
クロスサイトスクリプティング（XSS）による攻撃スクリプトは、Webサーバ側のアプリケーションサーバー上で直接実行され、サーバ内の機密データベースを直接書き換えることで被害を拡大させるのが最大の脅威である。
正解と解説（思考ルート）
【正解】 選択肢 4
■【設問の意図と背景】
Webアプリケーションの代表的な脆弱性における攻撃のメカニズム、実行主体、および対策の正確性を問う。
■【正解の根拠とメカニズム】
選択肢4が不適切である。クロスサイトスクリプティング（XSS）のスクリプトが実行される場所は、Webサーバ上ではなく被害を受けたユーザのWebブラウザ上である。サーバ上のDB書き換えを直接行うものではない。
■【各選択肢の徹底検証】
・選択肢1：ディレクトリトラバーサルの定義と対策として正しい。
・選択肢2：SQLインジェクションの定義とプレースホルダによる対策として正しい。
・選択肢3：XSSの定義とエスケープ処理による対策として正しい。
・選択肢4（不適切）：XSSの実行場所をWebサーバ上としている点が明確な誤り。
■【本番での即断ポイント】
XSSの「クロスサイト」という名称の通り、攻撃対象はサイトを訪れた閲覧者のブラウザ側であることを思い出す。
スマホで全100問をランダム演習・弱点管理しませんか？
「思考ルート」のWeb演習アプリなら、伝送交換主任技術者をはじめとする難関資格の過去問準拠・予想演習を、スマホやPCで100問まで完全無料でお試し演習できます。