平成29年度 春期 基本情報技術者試験 午前 問37
テクノロジ／セキュリティディレクトリトラバーサル攻撃に該当するものはどれか。
出典：平成29年度 春期 基本情報技術者試験 午前 問37
- ア攻撃者が，Webアプリケーションの入力データとしてデータベースへの命令文を構成するデータを入力し，管理者の意図していないSQL文を実行させる。
- イ攻撃者が，パス名を使ってファイルを指定し，管理者の意図していないファイルを不正に閲覧する。
- ウ攻撃者が，利用者をWebサイトに誘導した上で，Webアプリケーションによる HTML 出力のエスケープ処理の欠陥を悪用し，利用者のWebブラウザで悪意のあるスクリプトを実行させる。
- エセッションIDによってセッションが管理されるとき，攻撃者がログイン中の利用者のセッションIDを不正に取得し，その利用者になりすましてサーバにアクセスする。
正解：イ
解説
ディレクトリトラバーサル攻撃は，“../”などのパス指定を悪用し，アプリケーションが想定していない上位ディレクトリや別のディレクトリのファイルを指定することで，管理者の意図しないファイルへ不正にアクセスする攻撃です。
選択肢ごとの解説
- ア誤り。データベースへの命令文を注入して不正なSQL文を実行させるのはSQLインジェクションの説明です。
- イ正しい。パス名を使って本来アクセスできないファイルを指定し，不正に閲覧するのがディレクトリトラバーサル攻撃です。
- ウ誤り。悪意のあるスクリプトをWebブラウザで実行させるのはクロスサイトスクリプティング（XSS）の説明です。
- エ誤り。セッションIDを不正に取得してなりすますのはセッションハイジャックの説明です。