ITパスポート試験 テクノロジ系 練習問題 第6問: Webサイトのクロスサイトスクリプティング（XSS）の脆弱性と、その対策に関する記述として、適切なものはどれか。

正解: 1. XSS攻撃の被害は、Webサイト自体ではなく、そのページを閲覧した利用者に及ぶ

IPAの「安全なウェブサイトの作り方」によれば、XSS攻撃の影響はWebサイト自体ではなく、そのページを閲覧している利用者に及ぶ。利用者のブラウザで攻撃者のスクリプトが実行され、Cookieの取得や、本物のサイト上での偽のページの表示などが起こる。根本的な対策はWebページに出力する全ての要素にエスケープ処理を施すことで、入力値をそのまま出力する箇所だけでなく、データベースなどから読み込んだ文字列も対象になる。入力値の内容の検査は保険的対策にとどまる。CookieのHttpOnly属性もCookieの漏えいを防ぐ保険的対策で、偽のページの表示などの脅威は残る。

関連キーワード: クロスサイトスクリプティング・エスケープ処理・HttpOnly・cookie・保険的対策