令和3年度 III-30

解説

この問題で問われていること

Webアプリケーションに対する各種攻撃と、それぞれに対する対策を対応づける問題。

解き方

① 攻撃と対策の対応: CSRF=推測困難なトークンを埋め込み確認、XSS=特殊文字のエスケープ、SQLインジェクション=プレースホルダ、セッション固定=ログイン時にセッションIDを新しくする
② トークンをhiddenに埋め込んで確認するのが③
③ ③

正解が正しい理由

CSRFは、ユーザがログイン中であることを悪用して、罠のリンクなどから、利用者の意図しないリクエストを、Webアプリケーションに送らせる攻撃である。対策は、リクエストが、正規のフォームから送られたことを確認することで、推測困難なランダム値(トークン)をhiddenフィールドに埋め込み、処理時にその値が含まれているかを確認する(CSRFトークン)。したがって③が最も適切である。

各選択肢について

• ① HTML出力時の特殊文字のエスケープは、クロスサイトスクリプティング(XSS)への対策。
• ② SQL文の組立てにプレースホルダを用いるのは、SQLインジェクションへの対策。
• ③ 推測困難なトークンを、hiddenフィールドに埋め込み、処理時に確認するのは、CSRFへの対策。これが正答。
• ④ ファイルを開く際のパラメータの文字種を制限するのは、ディレクトリトラバーサルやOSコマンドインジェクションなどへの対策。
• ⑤ 認証成功時に新しいセッションIDを発行し、以前のIDを無効にするのは、セッション固定攻撃(セッションフィクセーション)への対策。

覚えるべきポイント

CSRF対策は、トークンの埋込みと確認、リクエスト元の確認(Refererなど)、重要処理での再認証など。XSS=エスケープ、SQLi=プレースホルダ、セッション固定=ログイン時のセッションID再発行。