クリックジャッキング・セッションハイジャック
応用情報技術者 用語
Webアプリケーションを狙う攻撃には、クロスサイトスクリプティング、クリックジャッキング、セッションハイジャックなどがあり、攻撃ごとに対策が異なります。クロスサイトスクリプティングには出力時のエスケープ処理、クリックジャッキングにはX-Frame-Optionsによるフレーム内表示の制限、セッションハイジャックにはログアウト時のセッションIDの無効化が対策になります。
取り違えやすい用語
- クロスサイトスクリプティング（閲覧者のブラウザでスクリプトを実行させる）とOSコマンドインジェクション（WebサイトのOSコマンドを呼び出す）
- クリックジャッキング対策（X-Frame-Optionsでフレーム内表示を制限）とXSS対策（HTMLタグとして解釈されないよう置き換える）
- ログアウト時のセッションIDの無効化（Webサーバ側で行う）とキャッシュのクリア（Webブラウザ側で行い、乗っ取り対策にならない）
試験での出方
- クロスサイトスクリプティングの手口を選ぶ（平成25年度 秋期 問42、平成27年度 秋期 問36、平成30年度 春期 問37）
- クロスサイトスクリプティングの対策を選ぶ（平成30年度 秋期 問41）
- セッションの乗っ取りの機会を減らすために、ログアウト時に行う処理を選ぶ（平成30年度 春期 問43、令和3年度 春期 問44）
- セッションが乗っ取られても被害が拡大しないよう、重要な情報を送信する直前に行う対策を選ぶ（平成28年度 春期 問41）
- クリックジャッキング攻撃の対策を選ぶ（令和3年度 春期 問37）
- 機密情報を記載したページが第三者に不正利用されることを防ぐ対策を選ぶ（平成26年度 春期 問45）
出題された回
全年度から出題。10問で実力を判定します。登録不要。
解説と用語ページは生成 AI が書き、別の生成 AI が確かめています。作り方