平成24年度 春期 基本情報技術者試験 午前 問45
テクノロジ／セキュリティディレクトリトラバーサル攻撃に該当するものはどれか。
出典：平成24年度 春期 基本情報技術者試験 午前 問45
- アWebアプリケーションの入力データとしてデータベースへの命令文を構成するデータを入力し，想定外のSQL文を実行させる。
- イWebサイトに利用者を誘導した上で，Webサイトの入力データ処理の欠陥を悪用し，利用者のブラウザで悪意のあるスクリプトを実行させる。
- ウ管理者が意図していないパスでサーバ内のファイルを指定することによって，本来は許されないファイルを不正に閲覧する。
- エセッションIDによってセッションが管理されるとき，ログイン中の利用者のセッションIDを不正に取得し，その利用者になりすましてサーバにアクセスする。
正解：ウ
解説
ディレクトリトラバーサル攻撃は，Webアプリケーションが入力値をファイルパスの一部として使用する際に，「../」のような相対パス指定を悪用して，本来公開範囲外にあるディレクトリのファイルにアクセスし，不正に閲覧・取得する攻撃です。
選択肢ごとの解説
- ア誤り。これはSQLインジェクションの説明です。
- イ誤り。これはクロスサイトスクリプティング（XSS）の説明です。
- ウ正しい。管理者が意図していないパスを指定してファイルにアクセスし，本来許されない範囲のファイルを不正に閲覧するのがディレクトリトラバーサル攻撃です。
- エ誤り。これはセッションハイジャックの説明です。