今日気づいたことを、軽いタッチで、コミカルに表現してみました。 パソコンやITに関することも時々書いています。
Webアプリケーションに対する攻撃の1つに、クロスサイトリクエストフォージェリ (CSRF) がある。これは、別のサイトに用意したコンテンツ上の罠のリンクを踏ませること等をきっかけとして、インターネットショッピングの最終決済や退会等Webアプリケーションの重要な処理を呼び出すようユーザを誘導する攻撃である。この攻撃への対策として、最も適切なものはどれか。
� �HTMLを出力する際に、要素や属性値を表現するときに使われる特殊文字を、エスケープする。
�◆�SQL文を組み立てる際に、プレースホルダを用いる。
�� 他者が推定困難なランダム値 (トークン) をhiddenフィールドとして埋め込んでおき、フォームデータを処理する際に、フォームデータ内にその値が含まれていることを確認する。
�ぁ（未離侫．ぅ襪魍�く際に与えるパラメータについて、文字種を英数字のみ等の安全なものに限定する。
�ァ．罅璽兇稜Ь擇棒�功した時点で新しいセッションIDを発行し、それまでのセッションIDを無効にする。
Webサイトにおいて、クリックジャッキング攻撃の対策に該当するものはどれか。
ア HTTPレスポンスヘッダに X-Content-Type-Optionsを設定する。
イ HTTPレスポンスヘッダに X-Frame-Optionsを設定する。
ウ 入力にHTMLタグが含まれていたら、HTMLタグとして解釈されないほかの文字列に置き換える。
エ 入力文字数が制限を超えているときは受け付けない。
SQLインジェクション攻撃を防ぐ方法はどれか。
ア 入力中の文字がデータベースへの問合せや操作において、特別な意味をもつ文字として解釈されないようにする。
イ 入力にHTMLタグが含まれていたら、HTMLタグとして解釈されない他の文字列に置き換える。
ウ 入力に上位ディレクトリを指定する文字列 (../) が含まれているときは受け付けない。
エ 入力の全体の長さが制限を越えているときは受け付けない。
ディレクトリトラバーサル攻撃に該当するものはどれか。
ア 攻撃者が、Webアプリケーションの入力データとしてデータベースへの命令文を構成するデータを入力し、管理者の意図していないSQL文を実行させる。
イ 攻撃者が、パス名を使ってファイルを指定し、管理者の意図していないファイルを不正に閲覧する。
ウ 攻撃者が、利用者をWebサイトに誘導した上で、WebアプリケーションによるHTML出力のエスケープ処理の欠陥を悪用し、利用者のWebブラウザで悪意のあるスクリプトを実行させる。
エ セッションIDによってセッションが管理されるとき、攻撃者がログイン中の利用者のセッションIDを不正に取得し、その利用者になりすましてサーバにアクセスする。
SQLインジェクション攻撃の説明はどれか。
ア Webアプリケーションに問題があるとき、悪意のある問合せや操作を行う命令文をWebサイトに入力して、データベースのデータを不正に取得したり改ざんしたりする攻撃
イ 悪意のあるスクリプトを埋め込んだWebページを訪問者に閲覧させて、別のWebサイトで、その訪問者が意図しない操作を行わせる攻撃
ウ 市販されているDBMSの脆弱性を悪用することによって、宿主となるデータベースサーバを探して感染を繰り返し、インターネットのトラフィックを急増させる攻撃
エ 訪問者の入力データをそのまま画面に表示するWebサイトを悪用して、悪意のあるスクリプトを訪問者のWebブラウザで実行させる攻撃
検索サイトの検索結果の上位に悪意のあるサイトが表示されるように細工する攻撃の名称はどれか。
ア DNSキャッシュポイズニング
イ SEOポイズニング
ウ クロスサイトスクリプティング
エ ソーシャルエンジニアリング
