脆弱性のある標的サイトに,悪意をもったスクリプトを送り込む。標的サイトにアクセスしてきた利用者に,スクリプトをダウンロードさせる。スクリプトを実行させて,利用者の情報を送信させる。サイトから,アクセスした利用者に悪意のある要求を送り込む。サイトに悪意のある要求を実行させる。問1クロスサイトスクリプティングに関する記述として,適切なものはどれか。サイトの運営者が意図しないスクリプトを含むデータであっても,利用者のブラウザに送ってしまう脆弱性を利用する。サーバに送信し,サーバを不正に操作する。パスワードを同じものに設定するという利用者の習性を悪用する。利用者に有用なソフトウェアと見せかけて,悪意のあるソフトウェアをインストールさせ,利用者のコンピュータに侵入する。問2クロスサイトリクエストフォージェリが攻撃対象とする利用者はどれか。問3サーバとクライアント間の正規の通信群を乗っ取ることで,正規のクライアントになりすまし,サーバ内のデータなどを盗み出す攻撃はどれか。問4Webサイトのセキュリティに関する次の記述を読んで,設問1~3に答えよ。N社は,インターネット上で日用雑貨品の会員制通信販売システム(以下,販売システムという)を運営する会社である。以外の人でも利用できる掲示板システムを提供している。図1は,販売システムに会員がログインした直後に表示されるトップ画面である。この画面の右上にある“掲示板”をクリックすると,図2の掲示板システムに画面が遷移するようにリンクが貼られている。図2掲示板システムの画面-23-ある日,会員情報が知らぬ間に書き換わっていたとのクレームが,複数の会員からN社に寄せられた。当する登録情報の変更処理が確認された。情報システム部門の責任者であるL部長は,セキュリティ事故が発生したと判断して,販売システムの利用を直ちに停止し,外部のセキュリティ専門会社の支援を受けながら対策をとることを指示した。調査報告書に記載された内容は,次のとおりである。問題の発生した会員(以下,会員Xという)は,販売システムのログイン画面で自身のアカウント名とパスワードを入力した。利用して会員のブラウザに戻した。会員Xは,販売システムのトップ画面で“掲示板”をクリックした。掲示板システムは,掲示板の画面を表示した。会員Xが,掲示板の特定のページを参照したときに,悪意のあるコードが自動的に実行され,会員Xの登録情報を書き換える処理が行われた。用した<script>タグを用いた悪意のあるコードが,掲示板の特定のページに埋め込まれた形跡があった。照すると,そのコードが自動的に実行され,会員の登録情報を書き換える処理が行われるようになっていた。今回のように,ログインした会員だけが,予期しない処理を実行させられてしまうセキュリティ攻撃はaと呼ばれている。これは,現在の掲示板システムでは,投稿内容をそのままブラウザに表示する脆弱性を悪用した攻撃である。この脆弱性を悪用した攻撃には,利用者のブラウザで悪意のあるコードを実行させて利用者情報を不正取得するbなどもある。L部長は,外部のセキュリティ専門会社の提言に従い,今回のセキュリティ攻撃の根本的な原因を解消すべく,掲示板システムを改善することにした。問題文中のに入れる正しい答えを,解答群の中から選べ。L部長は,入力された文字列にエスケープ処理を適切に施してから,ブラウザに表示するように掲示板システムを改善することにした。特別な記号文字“<”,“>”,“&”などを,それぞれ“&lt;”,“&gt;”,“&amp;”といった別の表記方法に置き換える。“<script>”はどのような文字列に置き換えられるか。正しい答えを,解答群の中から選べ。L部長が,入力された文字列にエスケープ処理を施すように掲示板システムを改善した理由は何か。解答群のうち,最も適切なものを選べ。