【伝送交換主任技術者】過去問準拠 予想演習 問043 解説｜思考ルート
Webアプリケーションにおけるセキュリティ脆弱性とそれに対する攻撃対策に関する実務上の記述として、最も不適切なものはどれか。
※本問は、過去の出題傾向・頻出論点をAI分析して作成した「過去問準拠の予想演習問題」です。
予想演習 No.043
Webアプリケーションにおけるセキュリティ脆弱性とそれに対する攻撃対策に関する実務上の記述として、最も不適切なものはどれか。
選択肢
ディレクトリトラバーサル攻撃への対策として、ファイル名に直接パスを指定させない仕組みを導入し、サーバ内のアクセス権限を厳格に設定することが有効である。
SQLインジェクション攻撃を防ぐため、データベースへの問い合わせを動的に組み立てるのではなく、プレースホルダ（静的プレパレーテッドステートメント）を利用することが効果的な対策となる。
クロスサイトスクリプティング（XSS）は悪意あるスクリプトをWebページに埋め込み、Webサーバ上でそのスクリプトを実行して情報を詐取する攻撃手法である。
クロスサイトスクリプティングに対する有効な対策として、HTML出力時に特殊文字（<や>など）を安全な文字列に置き換えるエスケープ処理を徹底することが挙げられる。
正解と解説（思考ルート）
【正解】 選択肢 3
■【設問の意図と背景】
Web脆弱性攻撃のメカニズムと実行主体に関する正確な理解を問うとともに、実務での誤った認識を炙り出す設問です。
■【正解の根拠とメカニズム】
クロスサイトスクリプティング（XSS）におけるスクリプトの実行場所はWebサーバ上ではなく、被害を受けるユーザの「Webブラウザ上」です。サーバ上で実行されるわけではありません。
■【各選択肢の徹底検証】
・選択肢1：ディレクトリトラバーサルに対するパス指定の禁止と権限管理は適切な対策です。
・選択肢2：SQLインジェクション対策としてのプレースホルダ利用は実務の必須事項であり正しいです。
・選択肢3：実行場所がWebサーバ上と誤って記載されているため不適切です。
・選択肢4：XSSに対するエスケープ処理の徹底は標準的かつ適切な対策です。
■【本番での即断ポイント】
XSSの標的と実行場所は常に「ユーザのWebブラウザ」であることを思い出し、サーバ上と記述された選択肢を排除します。
スマホで全100問をランダム演習・弱点管理しませんか？
「思考ルート」のWeb演習アプリなら、伝送交換主任技術者をはじめとする難関資格の過去問準拠・予想演習を、スマホやPCで100問まで完全無料でお試し演習できます。