Q51.
「Cross-site scripting 攻擊」無法達到下列何種行為？
電腦軟體應用 · 丙級 · 資訊安全 · Q51
難易度分析
2 / 5
本題考查對 XSS 攻擊影響範圍的基礎概念區分，需能明確分辨客戶端執行環境與伺服器端控制權的差異，屬於對核心知識點的直接應用。
正確答案：②取得網站伺服器控制權
② 取得網站伺服器控制權:XSS 屬於客戶端攻擊，其執行環境位於使用者的瀏覽器中，僅能影響前端使用者，無法直接取得或控制後端伺服器的權限；若要控制伺服器需依賴其他攻擊手法（如 RCE 或 SQL Injection）。
錯誤選項解析
- ① 強迫瀏覽者轉址:XSS 攻擊可透過注入惡意腳本（如 `window.location` 或 `meta refresh`）強制將瀏覽者重新導向至攻擊者指定的網頁，因此此行為是 XSS 可達成的。
- ③ 偷取瀏覽者cookie:XSS 攻擊可透過存取 `document.cookie` 讀取瀏覽者的 Cookie 資料，並將其傳送至攻擊者伺服器，進而實現 Session Hijacking（會話劫持）。
- ④ 騙取瀏覽者輸入資料:XSS 攻擊可透過 DOM 操作注入偽造的登入表單或對話框，誘騙瀏覽者輸入帳號密碼或個資，此為典型的 Phishing（釣魚）手法。
Learning Tip
"XSS 的核心特性是攻擊「使用者端」而非「伺服器端」，常考陷阱在於混淆 XSS 與 伺服器端漏洞（如 SQLi、RCE）的影響範圍。實務上應區分：XSS 影響的是「瀏覽該頁面的使用者」，而非網站主機本身；防禦重點在於 輸入驗證 與 輸出編碼，並搭配 CSP（Content Security Policy） 降低風險。"
學員答題分佈
①強迫瀏覽者轉址0%
②取得網站伺服器控制權0%
③偷取瀏覽者cookie0%
④騙取瀏覽者輸入資料0%
此答題分佈是根據學員在 LongePass 模擬考等實際作答紀錄計算而成。與考友分享這道歷屆試題與詳細解析！