【登録セキスペ】令和6年春午後問3の解説（情報処理安全確保支援士試験）

このNoteでは「セキスペR6春午後問3」の解説をします。

最新問題なので、試験1ヶ月前後からの演習をお薦めします。それまでは旧セキスペの午後1問題を解き倒してください。

＞SCR05春PMI問2解説Note
＞SCR05春PMI問3解説Note
＞SCR04秋PMI問2解説Note
＞SCR04秋PMI問3解説Note
＞SCR04春PMI問2解説Note
＞SCR04春PMI問3解説Note

今回は「Cookieによるログイン省略」と「サーバクエリ」の2つがテーマでした。

本試験での得点は極めてキビシイ印象です。とはいえ、具体的手法を学ぶ良い機会だったので、過去問の学習コスパはかなり高いです。

知らないとかなり浮足立つ問題だったので、しっかり復習をして、本試験でCookieやWebクエリが出た時に落ち着いて取り組めるようになっておきたいですね。

このNoteは、私が独学97点合格した経験と、IT専門学校での授業のノウハウで書いています。合格のお手伝いに少しでもなったら嬉しいです。

それでは始めましょう！

＞午前2対策Noteのリスト

設問1(1) | 問題文に忠実に芋づる

正答は、9（問い合わせ管理機能）。

問われている図3のスクリプトは、図3の題名の通り「問い合わせ機能のリクエストとレスポンス」です。

よって表1-9「問い合わせ管理機能」になります。

設問1(2) | cookieによる認証省略の悪用

模範解答は、「攻撃者が罠リンクを用意し、管理者にそのリンクを踏ませることで管理者権限のcookieを攻撃者のWebサイトに送信させ、その値を読み取って利用することで管理者としてサイトXにアクセスし、利用者情報を取得する」。

XSS（クロスサイトスクリプティング）は、Webサイトに悪意のあるスクリプトを埋め込んでおいて、訪問者のWebブラウザで実行させる手口。偽サイトに誘導させるのが代表的な出口。

このあたりは午前対策でずっとやってきたので理解しています。＞5種類のWeb入力系攻撃解説Note

しかし「どうやって全会員の利用者情報を取得するんだろう」と疑問ですね。SQLインジェクションだったら、まだ分かるのですが。

今回理解すべきは3点。

• Cookieによって認証済みである証明をする

• 上の仕組みは、利用者だけでなく、管理者も対象である

• 偽サイトは他サイト（サイトX）向けのcookie送付を要求できる

問題文にヒントがあります。

23頁の表1の上「ログインセッション管理は、cookieパラメータのSESSIONIDで行う」。

利用者（や管理者）がログイン認証に成功すると、サイトXのサーバはcookieを発行して渡します。cookieにはSESSIONIDが格納されています。利用者は次回アクセスするときにcookieをサーバに見せれば認証手続きをカットできます。これはcookieの有効期限内まで可能です。

攻撃の経緯を紐解きますね。

1. 問合せフォームに偽サイトに誘導するスクリプトを入力する

2. 管理者が問合せ管理機能で閲覧した時にスクリプトが実行。管理者が偽サイトに誘導される

3. 偽サイトはアクセスしてきた管理者にサイトXのcookie送付を要求。管理者PC（Webブラウザ）はcookieを送付

4. 攻撃者は送付されたcookieを使ってサイトXにアクセス。

5. サイトXはcookieが有効期限内ならログイン済みとしてそのままシステムを使わせる。

6. 攻撃者は管理者としてサイトXにログインできたので、サイト管理機能の会員管理機能で全会員の情報を窃取

以上のように、ログイン済み管理者のcookieを入手すれば、攻撃者はIDやパスワードを知らなくてもログイン済みとしてアクセスできるんですね。

設問2(1) | 攻撃者だって正規手順で入手する