XSS・CSRF・クリックジャッキング

3つの違い

XSS は「サイトが利用者に返すページ」が汚されるのに対し，CSRF は「利用者からサイトへのリクエスト」が偽造されます。 CSRF ではリクエストそのものは正規の形をしているので，特殊文字のエスケープは CSRF の対策になりません。ここが一番よく問われる取り違えです。

XSS の種類

• 反射型：罠のリンクの URL などにスクリプトを仕込み，サイトがそれをそのまま返したページで実行させる
• 格納型（Stored XSS）：掲示板などにスクリプトを書き込んでサイトに保存させ，そのページを後から見た全ての利用者のブラウザで実行させる

試験での問われ方

当サイトが収録している午前の問題のうち，XSS・CSRF・クリックジャッキングの語が出てくるのは34問です。 半分が情報処理安全確保支援士の午前Ⅱで，午前Ⅰやシステムアーキテクト・ITストラテジストの午前Ⅱにも出ます。型ごとに数えると次のとおりです。

• XSS の手口と対策（9問）。手口は「Web アプリケーションのフォームの入力フィールドに，悪意のある JavaScript コードを含んだデータを入力する」， 対策は「Web サイトへの入力データを表示するときに，HTML で特別な意味をもつ文字のエスケープ処理を行う」などです。 格納型 XSS（4問）は「Web サイト上の掲示板に攻撃用スクリプトを忍ばせた書込みを攻撃者が行うことによって，その後に当該掲示板を閲覧した利用者の Web ブラウザで，攻撃用スクリプトが実行された」です。
• CSRF の対策として効果がないもの（3問）。正解は，“<” “>” などの特殊文字を別の文字列に置き換える処理です。これは XSS の対策です。
• クリックジャッキング（3問）。攻撃の説明（「Web ページのコンテンツ上に透明化した標的サイトのコンテンツを配置し，利用者が気づかないうちに標的サイト上で不正操作を実行させる」）と， 対策（「HTTP レスポンスヘッダーに，X-Frame-Options を設定する」，2問）です。
• 攻撃と対策の組合せ（6問）。SQL インジェクションなどと並べて，正しい組合せを選ばせます。
• このほか，OS コマンドインジェクションの名前を選ぶ問題（7問）や，Web サーバのログから攻撃を推測する問題（3問）などの選択肢に出てきます。

出題された過去問（34問）

リンク先の年度ページで，問題と解説を読めます。

関連する用語

TLS（SSL）