平成26年度 秋期 基本情報技術者試験 午前 問44
テクノロジ／セキュリティディレクトリトラバーサル攻撃に該当するものはどれか。
出典：平成26年度 秋期 基本情報技術者試験 午前 問44
- アWebアプリケーションの入力データとしてデータベースへの命令文を構成するデータを入力し，想定外のSQL文を実行させる。
- イWebサイトに利用者を誘導した上で，Webアプリケーションによる HTML出力のエスケープ処理の欠陥を悪用し，利用者のブラウザで悪意のあるスクリプトを実行させる。
- ウセッションIDによってセッションが管理されるとき，ログイン中の利用者のセッションIDを不正に取得し，その利用者になりすましてサーバにアクセスする。
- エパス名を含めてファイルを指定することによって，管理者が意図していないファイルを不正に閲覧する。
正解：エ
解説
ディレクトリトラバーサル攻撃とは，「../」などの相対パス指定を悪用し，本来アクセスが許可されていないディレクトリやファイルに不正にアクセスする攻撃です。パス名を細工することで，管理者の意図しないファイルの閲覧などを引き起こします。
選択肢ごとの解説
- ア誤り。データベースへの命令文を注入して実行させる攻撃は，SQLインジェクションの説明です。
- イ誤り。エスケープ処理の欠陥を悪用して悪意あるスクリプトを実行させる攻撃は，クロスサイトスクリプティング（XSS）の説明です。
- ウ誤り。セッションIDを不正に取得してなりすます攻撃は，セッションハイジャックの説明です。
- エ正しい。パス名を細工して管理者の意図しないファイルにアクセスするのが，ディレクトリトラバーサル攻撃です。