令和3年度 秋期 応用情報技術者試験 午前 問44
テクノロジ／セキュリティオープンリダイレクトを悪用した攻撃に該当するものはどれか。
出典：令和3年度 秋期 応用情報技術者試験 午前 問44
- アHTML メールのリンクを悪用し，HTML メールに，正規の Web サイトとは異なる偽の Web サイトの URL をリンク先に指定し，利用者がリンクをクリックすることによって，偽の Web サイトに誘導する。
- イWeb サイトにアクセスすると自動的に他の Web サイトに遷移する機能を悪用し，攻撃者が指定した偽の Web サイトに誘導する。
- ウインターネット上の不特定多数のホストから DNS リクエストを受け付けて応答する DNS キャッシュサーバを悪用し，攻撃対象の Web サーバに大量の DNS のレスポンスを送り付け，リソースを枯渇させる。
- エ設定の不備によって，正規の利用者以外からの電子メールや Web サイトへのアクセス要求を受け付けるプロキシを悪用し，送信元を偽った迷惑メールの送信を行う。
正解：イ
解説
オープンリダイレクトは，Web サイトがもつ「パラメタで指定された URL へ自動的に遷移（リダイレクト）する機能」の検証不備を悪用する攻撃です。正規サイトの URL に偽サイトへのリダイレクト先を仕込むことで，利用者を攻撃者が指定した偽の Web サイトに誘導します。
選択肢ごとの解説
- ア誤り。HTML メールのリンク先を偽サイトにするのは一般的なフィッシングの手口であり，サイトのリダイレクト機能を悪用するオープンリダイレクトではありません。
- イ正しい。他サイトへ自動的に遷移する機能を悪用して偽サイトへ誘導するのがオープンリダイレクト攻撃です。
- ウ誤り。DNS キャッシュサーバを悪用して大量のレスポンスを送り付けるのは DNS リフレクション（DNS アンプ）攻撃の説明です。
- エ誤り。設定不備のプロキシ（オープンプロキシ・オープンリレー）を悪用した迷惑メール送信の説明であり，リダイレクト機能の悪用ではありません。