平成29年度 春期 情報セキュリティマネジメント試験 午前 問23
テクノロジ／セキュリティディレクトリトラバーサル攻撃に該当するものはどれか。
出典：平成29年度 春期 情報セキュリティマネジメント試験 午前 問23
- ア攻撃者が，Web アプリケーションの入力データとしてデータベースへの命令文を構成するデータを入力し，管理者の意図していない SQL 文を実行させる。
- イ攻撃者が，パス名を使ってファイルを指定し，管理者の意図していないファイルを不正に閲覧する。
- ウ攻撃者が，利用者を Web サイトに誘導した上で，Web アプリケーションによる HTML 出力のエスケープ処理の欠陥を悪用し，利用者の Web ブラウザで悪意のあるスクリプトを実行させる。
- エセッション ID によってセッションが管理されるとき，攻撃者がログイン中の利用者のセッション ID を不正に取得し，その利用者になりすましてサーバにアクセスする。
正解：イ
解説
ディレクトリトラバーサル攻撃とは、パス名（../など）を使ってファイルを指定することによって、公開を意図していないファイルに不正にアクセスする攻撃です。
選択肢ごとの解説
- ア誤り。データベースへの命令文を構成するデータを入力してSQL文を実行させるのはSQLインジェクションの説明です。
- イ正しい。パス名を使ってファイルを指定し、管理者の意図していないファイルを不正に閲覧するのがディレクトリトラバーサル攻撃です。
- ウ誤り。HTMLエスケープ処理の欠陥を悪用してスクリプトを実行させるのはクロスサイトスクリプティングの説明です。
- エ誤り。セッションIDを不正に取得してなりすますのはセッションハイジャックの説明です。