【伝送交換主任技術者】過去問準拠 予想演習 問031 解説｜思考ルート
Webアプリケーションにおける各種セキュリティ脆弱性と攻撃手法、およびそれに対する具体的なリスク管理・防止策に関する記述のうち、最も不適切なものはどれか。
※本問は、過去の出題傾向・頻出論点をAI分析して作成した「過去問準拠の予想演習問題」です。
予想演習 No.031
Webアプリケーションにおける各種セキュリティ脆弱性と攻撃手法、およびそれに対する具体的なリスク管理・防止策に関する記述のうち、最も不適切なものはどれか。
選択肢
クロスサイトスクリプティング攻撃は、Webサーバ内部のデータベース領域に悪意あるスクリプトを直接書き込んで永続化させ、APサーバのプロセス上でそのスクリプトを実行して機密情報を不正に外部へ送信させる脆弱性である。
SQLインジェクション攻撃を防ぐためには、ユーザからの入力値をそのままSQL文の構築に用いるのではなく、プレースホルダ（パラメータ化クエリ）を用いて動的クエリの構造を固定化し、入力値を単なるパラメータとして処理することが最も効果的である。
ディレクトリトラバーサル攻撃は、アプリケーションがファイル名を処理する際に相対パス指定文字列であるドットスラッシュなどを悪用し、本来アクセスが許可されていないシステム内部の機密ファイルに不正にアクセスする脆弱性である。
クロスサイトスクリプティング対策として、出力データをHTMLに埋め込む際に特殊文字を安全な文字実体参照に置換するエスケープ処理をすべての動的ページ生成において徹底して実装することが不可欠である。
正解と解説（思考ルート）
【正解】 選択肢 1
■【設問の意図と背景】
Webアプリケーションの脆弱性と攻撃メカニズムについて、リスク管理上の正確な知識と不適切な記述を見抜く能力を問う。
■【正解の根拠とメカニズム】
選択肢1の記述は明確に誤りである。クロスサイトスクリプティング（XSS）はWebサーバやAPサーバ上でスクリプトを実行するものではなく、被害を受けるユーザのWebブラウザ上で悪意あるスクリプトを実行させる攻撃手法である。
■【各選択肢の徹底検証】
・選択肢1：XSSの実行場所をサーバ上（APサーバプロセス上）としている点が誤りであり、実際には被害者のブラウザ上で実行される。
・選択肢2：プレースホルダを用いた動的クエリの固定化はSQLインジェクションの根本的かつ最も有効な防止策として正しい。
・選択肢3：ディレクトリトラバーサルの定義および相対パス悪用による機密ファイルへの不正アクセスに関する記述として正しい。
・選択肢4：HTML出力時のエスケープ処理の徹底がXSS対策の基本かつ必須事項であるため正しい。
■【本番での即断ポイント】
クロスサイトスクリプティング（XSS）の「攻撃が実行される場所はサーバではなくユーザのWebブラウザ上である」という点を突く出題は定番のひっかけであるため、このキーワードの組み合わせを即座に見抜くこと。
スマホで全100問をランダム演習・弱点管理しませんか？
「思考ルート」のWeb演習アプリなら、伝送交換主任技術者をはじめとする難関資格の過去問準拠・予想演習を、スマホやPCで100問まで完全無料でお試し演習できます。