平成21年度春期 応用情報技術者試験 午前 問42
ディレクトリトラバーサル攻撃に該当するものはどれか。
- ア Web アプリケーションの入力データとしてデータベースへの命令文を構成するデータを入力し，想定外の SQL 文を実行する。
- イ Web サイトに利用者を誘導して，Web サイトの入力データ処理の欠陥を悪用し，利用者のブラウザで悪意のあるスクリプトを実行する。
- ウ サーバ内の想定外のファイル名を直接指定することによって，本来は許されないファイルを不正に閲覧する。
- エ セッション ID によってセッションが管理されるとき，ログイン中の利用者のセッション ID を不正に取得し，その利用者に成りすましてアクセスする。
解答・解説を見る
正解：ウ
AI解説
ディレクトリトラバーサル攻撃とは、相対パス指定(「../」など)を悪用してファイルパスを操作し、本来アクセスが許可されていないサーバ内のファイルを直接指定して不正に閲覧・取得する攻撃である。 ア: これはSQLインジェクションの説明である。入力データとしてSQL文の一部を構成する文字列を送り込み、想定外のSQL文を実行させる攻撃である。 イ: これはクロスサイトスクリプティング(XSS)の説明である。Webサイトの入力処理の欠陥を悪用し、利用者のブラウザ上で悪意あるスクリプトを実行させる攻撃である。 ウ: 正解。サーバ内の想定外のファイル名やパスを直接指定することで、本来許されないファイルを不正に閲覧するのがディレクトリトラバーサル攻撃である。 エ: これはセッションハイジャックの説明である。ログイン中利用者のセッションIDを不正取得し、その利用者になりすましてアクセスする攻撃である。 💡 ディレクトリトラバーサル対策の基本は、入力されたパス文字列中の「../」などを無効化・正規化し、想定外のディレクトリへのアクセスを防ぐことである。
出典：平成21年度 春期 応用情報技術者試験 午前 問42 ／ 独立行政法人情報処理推進機構（IPA）
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。
※Web掲載用に表記を一部変更しています。著作権はIPAに帰属します。