平成27年度 春期 応用情報技術者試験 午前 問46
テクノロジ／セキュリティディレクトリトラバーサル攻撃はどれか。
出典：平成27年度 春期 応用情報技術者試験 午前 問46
- アOSの操作コマンドを利用するアプリケーションに対して，攻撃者が，OSのディレクトリ作成コマンドを渡して実行する。
- イSQL文のリテラル部分の生成処理に問題があるアプリケーションに対して，攻撃者が，任意のSQL文を渡して実行する。
- ウシングルサインオンを提供するディレクトリサービスに対して，攻撃者が，不正に入手した認証情報を用いてログインし，複数のアプリケーションを不正使用する。
- エ入力文字列からアクセスするファイル名を組み立てるアプリケーションに対して，攻撃者が，上位のディレクトリを意味する文字列を入力して，非公開のファイルにアクセスする。
正解：エ
解説
ディレクトリトラバーサル攻撃は，入力文字列からアクセスするファイル名を組み立てる仕組みをもつアプリケーションに対し，「../」など上位ディレクトリを意味する文字列を入力することで，本来アクセスできないはずの非公開ファイルへ不正にアクセスする攻撃です。
選択肢ごとの解説
- ア誤り。OSのディレクトリ作成コマンドを渡して実行させる攻撃は，OSコマンドインジェクションの説明です。
- イ誤り。任意のSQL文を渡して実行させる攻撃はSQLインジェクションの説明です。
- ウ誤り。不正に入手した認証情報でシングルサインオン環境にログインする行為は，認証情報の窃取・悪用（なりすましログイン）の説明です。
- エ正しい。上位ディレクトリを意味する文字列を入力して非公開ファイルにアクセスするのがディレクトリトラバーサル攻撃です。