問41応用情報技術者 平成30年度 秋期

解説

正解は3。クロスサイトスクリプティング（XSS）は、利用者が入力した文字列をWebページがそのまま出力するため、そこに仕込まれたスクリプトが閲覧者のブラウザで動いてしまう攻撃である。根本の対策は、出力するときに「<」「>」「&」「"」などを文字参照に置き換えるエスケープ処理を行い、データがHTMLタグとして解釈されないようにすることだから、3が当たる。

• 1は、SNMPは機器の監視・管理用のプロトコルで、XSSの検知や防止には関係しない。
• 2は、OSの脆弱性への対策であり、Webアプリケーションの出力処理の欠陥であるXSSは防げない。
• 4は、入力の長さ制限はバッファオーバフロー対策の考え方で、短いスクリプトでもXSSは成立する。

根拠：IPA「安全なウェブサイトの作り方」のクロスサイト・スクリプティング対策（出力時のエスケープ処理）