セキュリティ

XSS（クロスサイトスクリプティング）の3種類の分類として正しい組み合わせはどれか。

ア.反射型=URLパラメータをそのまま出力、格納型=DBに保存して全ユーザに影響、DOM型=JavaScriptがDOMを操作正解

イ.反射型=DBに保存、格納型=URLパラメータ利用、DOM型=HTTPレスポンスヘッダ操作

ウ.反射型=永続的攻撃、格納型=一時的攻撃、DOM型=SQLインジェクションの一種

エ.反射型=HTTPSのみで発生、格納型=HTTPのみで発生、DOM型=WebSocketで発生

解説

XSSの3種類は「攻撃の居場所」で分類される。反射型は玄関で即撥ね返す、格納型は倉庫に住み着く、DOM型はブラウザ内で暗躍する。

なぜアが正解か

反射型XSS: URLパラメータ等をサーバがそのままHTMLに出力し、クリックしたユーザのみに影響。格納型XSS（Stored XSS）: 悪意あるスクリプトをDBに保存し、ページを表示した全ユーザに影響。DOM型XSS: サーバを介さずにJavaScriptがDOMを直接操作して発生。

なぜイは間違いか

反射型とDOM型の説明が逆になっており誤り。反射型はURLパラメータ、DOM型はJavaScript/DOM操作。

なぜウは間違いか

反射型が永続的、格納型が一時的は完全に逆。格納型がDBに保存されて永続的な影響を持つ。

なぜエは間違いか

XSSはHTTPS/HTTP/プロトコルに関係なく発生する。HTTPSの有無でXSSは区別されない。

出典: AI生成問題（学習用）

← 前の問題

CSRFトークンによる防御の仕組みとして正しいものはどれか。

次の問題 →

プレースホルダ（バインド変数）がSQLインジェクションを防ぐ理由として正しいものはどれか。