平成27年度 高度共通 午前I（PM試験） 問15
ディレクトリトラバーサル攻撃はどれか。
- ア OSの操作コマンドを利用するアプリケーションに対して，攻撃者が，OSのディレクトリ作成コマンドを渡して実行する。
- イ SQL文のリテラル部分の生成処理に問題があるアプリケーションに対して，攻撃者が，任意のSQL文を渡して実行する。
- ウ シングルサインオンを提供するディレクトリサービスに対して，攻撃者が，不正に入手した認証情報を用いてログインし，複数のアプリケーションを不正使用する。
- エ 入力文字列からアクセスするファイル名を組み立てるアプリケーションに対して，攻撃者が，上位のディレクトリを意味する文字列を入力して，非公開のファイルにアクセスする。
解答・解説を見る
正解：エ
AI解説
ディレクトリトラバーサル攻撃は、ファイル名を外部入力から組み立てるアプリケーションに対し、「../」など上位ディレクトリを意味する文字列を注入して、本来公開していないファイルに不正アクセスする攻撃である。エがこの説明に該当する。パス(ディレクトリ)を遡って横断(トラバース)することが名前の由来である。 ア: OSコマンドを不正に実行させるのはOSコマンドインジェクションの説明である。 イ: SQL文のリテラル生成の不備を突いて任意のSQL文を実行させるのはSQLインジェクションの説明である。 ウ: 不正入手した認証情報でディレクトリサービスにログインする行為は、なりすまし(不正ログイン)であり、ここでの「ディレクトリ」は名前が似ているだけでファイルパスの話ではない。 エ: 正解。「../」のような上位ディレクトリ指定文字列で非公開ファイルへアクセスする、ディレクトリトラバーサルの典型的な手口である。 💡 「トラバーサル=../でパスを遡る」と覚える。対策はファイル名を直接指定させない、パス名の正規化後にアクセス権を検査するなど。選択肢ウのようにディレクトリサービス(LDAP)と混同させるひっかけに注意。
出典：平成27年度 秋期 プロジェクトマネージャ試験 午前I 問15 ／ 独立行政法人情報処理推進機構（IPA）
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。