情報セキュリティマネジメント試験 練習問題 69：Webセキュリティ：脆弱性攻撃
📊 Qraftユーザーの成績
- 難易度 Cランク（レーティング1181）
- 難易度 1452位/2795問中
- 正答率 100%（1/1回正解）
Webアプリケーションの脆弱性を突くCSRF（クロスサイトリクエストフォージェリ）攻撃に関する記述として、正しいものはどれか。
- CSRFは、利用者が入力フォームに入力したスクリプトがそのまま画面に表示される脆弱性を突き、利用者のブラウザ上で不正なスクリプトを実行させる攻撃である。
- CSRFは、利用者がWebサイトにログインした状態を利用し、攻撃者が用意した罠サイトを経由して、利用者の意図しない操作を正規のサイトで実行させる攻撃である。
- CSRFは、データベースと連動するWebサイトの入力フォームに対して不正なSQL文を送信し、データベース内の機密情報を不正に取得したり改ざんしたりする攻撃である。
- CSRFは、利用者が閲覧しているWebサイトのドメイン名とIPアドレスの対応関係を改ざんし、正規のサイトにアクセスした利用者を偽サイトへ誘導する攻撃である。
- CSRFは、利用者のパソコンに感染してシステム内の重要なファイルを勝手に暗号化し、その復号のための鍵と引き換えに金銭（身代金）を要求する悪質な攻撃である。
正解と解説を見る
正解：CSRFは、利用者がWebサイトにログインした状態を利用し、攻撃者が用意した罠サイトを経由して、利用者の意図しない操作を正規のサイトで実行させる攻撃である。
CSRFは、利用者が特定のWebサイトにログインした状態を利用し、罠サイトを経由して意図しない操作（商品の購入や設定変更など）を正規サイト上で実行させる攻撃であるという説明が正解です。
【正解の理由】
CSRF（クロスサイトリクエストフォージェリ）は、Webアプリケーションがリクエストの送信元を正しく検証していない脆弱性を突き、利用者のブラウザに正規のサイト宛ての不正なリクエストを送信させる攻撃手法です。
【不正解の理由】
• 『入力フォームに入力したスクリプトがそのまま画面に表示される脆弱性を突く』という説明は誤り。これはクロスサイトスクリプティング（XSS）の説明です。
• 『入力フォームに対して不正なSQL文を送信し、データベース内の機密情報を不正に取得する』という説明は誤り。これはSQLインジェクション攻撃の説明です。
• 『ドメイン名とIPアドレスの対応関係を改ざんし、偽サイトへ誘導する』という説明は誤り。これはDNSキャッシュポイズニング攻撃などの説明です。
• 『システム内の重要なファイルを勝手に暗号化し、復号のための鍵と引き換えに金銭を要求する』という説明は誤り。これはランサムウェア（身代金要求型マルウェア）の説明です。