情報処理安全確保支援士(情報セキュリティスペシャリスト) 試験情報＆徹底解説

本問のようにXSS脆弱性をURLを入力することで診断する場合、
画面遷移時にGETリクエスト、POSTリクエストを利用していようが
どちらでも有効なＵＲＬになるのでしょうか。
ＵＲＬの後ろにdescription,refURLの形式で記述すればレスポンスに値を挿入できることを攻撃者はどのように知るのでしょうか。

的を得ていない質問かもしれませんが、プログラミング力がほぼなく、イメージしづらいです。

恐縮ですが、質問は「令和４年 秋期午後２問２」であっていますか。
質問に該当する部分が見つけられませんでした。

この投稿は投稿者により削除されました。(2024.03.24 20:42)

令和【３】年 秋期午後２問【１】の前半部の誤りでした。
お手数おかけします

>本問のようにXSS脆弱性をURLを入力することで診断する場合、
>画面遷移時にGETリクエスト、POSTリクエストを利用していようが
>どちらでも有効なＵＲＬになるのでしょうか。
すみませんが、質問の意図を汲み取れませんでした。本問はGETとパラメタを用いて
XSSの検査をしています。POSTはどこからでてきたのでしょうか。

>ＵＲＬの後ろにdescription,refURLの形式で記述すればレスポンスに値を
>挿入できることを攻撃者はどのように知るのでしょうか。
攻撃者は実際にdescription,refURLパラメタに設定してみて、確認したと
思われます。特別なことをしたわけではありません。

pix様回答ありがとうございます。
本問ではGET,POSTと明示的に指示されていないものと認識しています。
ただ、パラメタ指定をしている時点でGETであることが確定しているのでしたら私の問題は的外れということになると思います。

>本問ではGET,POSTと明示的に指示されていないものと認識しています。
>ただ、パラメタ指定をしている時点でGETであることが確定しているのでしたら
>私の問題は的外れということになると思います。
図3 (1)には「URLをWebブラウザのアドレスバーに入力し、」とあります。
原則としてWebブラウザのアドレスバーはGETリクエストになります。
POSTリクエストはできません。

また、GETリクエストはURLにパラメタを付けてデータを送信します。
POSTリクエストはリクエストボディ部分にデータを格納して送信します。