情報処理安全確保支援士(情報セキュリティスペシャリスト) 試験情報＆徹底解説

令和6年春午後問3設問3-1と令和5年秋午後問1設問4の回答が矛盾しているような気がして理解できません。
Same-Originn Policyでどちらも罠サイトからcookieは取得できないと思うのですが令和6年では出来て、令和5年では出来ないという趣旨での回答でした。
ほんとうにざっくりとした丸投げ的な質問で申し訳ないのですが、
cookieとSame-Originn Policy（リソースへのアクセス制限/スクリプトの制限）の関係を絡めて回答いただける優しい方いらっしゃいましたらお願い致します。

令和6年春午後問3設問3-1は
> 本文中の下線④について，どのような攻撃手法を用いれば攻撃が成功するか。30字以内で答えよ。
という問題だと思うのですが、この問題にSame Origin Policyどころか他サイトは全く関わっていないように思います。

問題番号を間違えていませんか？

回答ありがとうございます。
申し訳ございません。あと3日で慌ててしまったようです、、、

正しくは  令和6年春午後問3  設問1-2  でした。

この投稿は投稿者により削除されました。(2024.10.10 12:53)

※致命的に誤字ってたので再投稿

令和5年秋午後問1(設問4以外)と、令和6年春午後問3設問1-2は、同じ話をしています。
どちらも、攻撃対象のサイト内にスクリプトを埋め込んでいます。

別のサイトのスクリプトからは読めないが、同一サイトのスクリプトからはCookieが読めます。(CookieにHttpOnlyが指定されていない限り)

令和5年秋午後問1設問4では、仮に他のサイトに設定したらどうなるかと質問していますので、動かないが正解になります。

令和6年春午後問3設問1-2は、模範解答の「攻撃者がわなリンクを用意し」という記述が紛らわしいですが、これはあらかじめ攻撃対象のサイト内にスクリプトを埋め込んだ上で、そのページに誘導しているという意味です。
別のサイトにスクリプトを設定しているわけではありません。
なので、動作することになります。

...正直この模範解答はどうなの？とは思います。問い合わせを送信しているんだから、わざわざ攻撃者がリンクを踏ませなくても管理者は自ら確認しに来てくれるはずなので...
スクリプトを埋め込んだページのURLを送りつけるというのは、XSSを利用した攻撃でよくあるやり方ではあります。

回答ありがとうございます。

令和5年は罠サイトから実行となるのでやはりcookieの取得はできない。
令和6年は罠サイトを用意しているわけではなく、同サイトのリンクを用意して実行しているのでcookieは取得できる。

ということですね。
たしかに罠リンクを設置する部分で悩まされました。

本当に助かりました。

蛇足ですでにご存じかもしれないですが、
令和5年秋午後問1設問4では、
「罠サイトから対象サイトのcookieを読み込めない」という論点ではなく、
「罠サイトで読んだスクリプトからXHRを送出する際に、対象サイトで発行されたcookieは送出されない」という意味の公式解答だと思われます。

＝会員のプロフィールページにアクセスしてトークンの払い出しを受けるのがそもそもの前提となっていますが、そこへのアクセスを行うxhrの送出時に、会員ログインの証であるセッションIDが含まれたcookieが一緒に送られないために、そもそもトークンが払い出せないということです。

No.7
> 令和5年秋午後問1設問4では、
> 「罠サイトから対象サイトのcookieを読み込めない」という論点ではなく、
> 「罠サイトで読んだスクリプトからXHRを送出する際に、対象サイトで発行されたcookieは送出されない」という意味の公式解答だと思われます。

確かにその通りです！
回答を書いてるときに頭から抜けましたね...
訂正感謝します。