平成30年度 春期 応用情報技術者試験 午前 問38
テクノロジ／セキュリティディレクトリトラバーサル攻撃はどれか。
出典：平成30年度 春期 応用情報技術者試験 午前 問38
- アOS コマンドを受け付けるアプリケーションに対して，攻撃者が，ディレクトリを作成する OS コマンドの文字列を入力して実行させる。
- イSQL 文のリテラル部分の生成処理に問題があるアプリケーションに対して，攻撃者が，任意の SQL 文を渡して実行させる。
- ウシングルサインオンを提供するディレクトリサービスに対して，攻撃者が，不正に入手した認証情報を用いてログインし，複数のアプリケーションを不正使用する。
- エ入力文字列からアクセスするファイル名を組み立てるアプリケーションに対して，攻撃者が，上位のディレクトリを意味する文字列を入力して，非公開のファイルにアクセスする。
正解：エ
解説
ディレクトリトラバーサル攻撃は，ファイル名を組み立てるアプリケーションに対し，「../」など上位のディレクトリを指す文字列を入力することで，本来アクセスできないはずのファイルに不正にアクセスする攻撃です。
選択肢ごとの解説
- ア誤り。OSコマンドの文字列を入力して実行させるのは，OSコマンドインジェクションの説明です。
- イ誤り。任意のSQL文を渡して実行させるのは，SQLインジェクションの説明です。
- ウ誤り。不正に入手した認証情報でシングルサインオン環境に不正ログインするのは，認証情報の窃取・悪用に関する攻撃の説明です。
- エ正しい。上位のディレクトリを意味する文字列を入力して非公開のファイルにアクセスするのが，ディレクトリトラバーサル攻撃です。