【伝送交換主任技術者】過去問準拠 予想演習 問055 解説｜思考ルート
Webアプリケーションのセキュリティ脆弱性および攻撃手法に関する記述のうち、最も不適切なものはどれか。
※本問は、過去の出題傾向・頻出論点をAI分析して作成した「過去問準拠の予想演習問題」です。
予想演習 No.055
Webアプリケーションのセキュリティ脆弱性および攻撃手法に関する記述のうち、最も不適切なものはどれか。
選択肢
ディレクトリトラバーサル攻撃は、攻撃者が相対パス（../など）を悪用して本来アクセスが許可されていないシステム内部の機密ファイルに不正アクセスする手法であり、ファイル名に直接パスを指定させない対策が有効である。
SQLインジェクション攻撃は、データベースと連携したWebアプリケーションにおいて、入力欄に悪意あるSQL文を埋め込むことでデータベースを不正操作する脆弱性であり、プレースホルダを用いた実装が有効な対策となる。
クロスサイトスクリプティング（XSS）は、Webページに悪意あるスクリプトを埋め込み、それを閲覧した被害者のWebサーバ上でそのスクリプトを実行させることでセッション情報を窃取する攻撃手法である。
クロスサイトスクリプティングに対する有効な対策の一つとして、HTML出力時にスクリプトとして解釈されるおそれのある特殊文字（<や>など）を安全な文字列に置き換えるエスケープ処理がある。
正解と解説（思考ルート）
【正解】 選択肢 3
■【設問の意図と背景】
Webセキュリティにおける主要な脆弱性のメカニズム、攻撃の実行場所、および具体的な対策技術に関する正確な知識を問う。
■【正解の根拠とメカニズム】
クロスサイトスクリプティング（XSS）において、悪意あるスクリプトが実行される場所はWebサーバ上ではなく、被害を受ける「ユーザのWebブラウザ上」である。したがって選択肢3の記述は不適切である。
■【各選択肢の徹底検証】
・選択肢1：ディレクトリトラバーサルの定義と対策（相対パスの悪用防止）に関する記述は正しく適切。
・選択肢2：SQLインジェクションの定義とプレースホルダによる対策に関する記述は正しく適切。
・選択肢3：XSSの実行場所が「Webサーバ上」とされている点が誤りであり不適切（正解）。
・選択肢4：HTML出力時のエスケープ処理がXSSの有効な対策である記述は正しく適切。
■【本番での即断ポイント】
「クロスサイトスクリプティングは被害者のWebブラウザ上で実行される」という点は試験で頻出のひっかけポイントであるため、実行主体がサーバかブラウザかを厳格に確認する。
スマホで全100問をランダム演習・弱点管理しませんか？
「思考ルート」のWeb演習アプリなら、伝送交換主任技術者をはじめとする難関資格の過去問準拠・予想演習を、スマホやPCで100問まで完全無料でお試し演習できます。