出典：平成29年度 春期 情報セキュリティマネジメント試験（SG） 午前 問23
難易度設定
スポンサーリンク
予備知識
| 用語 | 意味 |
|---|---|
| ディレクトリトラバーサル攻撃 | プログラム内の「どんなファイルが欲しいんだい？」な処理に対して、プログラムを作った人が想定していなかったファイルを指定することで、本当は見られないはずだったファイルの中身を見ようとする攻撃 |
| Webアプリケーション | 主要な処理をする部分がインターネットの世界にあって、インターネットを介して使う仕組みになっているソフト |
| SQL | データベースとやり取りするときに使う言葉 |
| SQL文 | データベースに対する、SQLを使った命令文 |
| パス | ファイルやフォルダの場所（と名前） |
| エスケープ処理 | 特別な意味を持つ文字の「特別」を無効化する処理 |
| スクリプト | 書いて、すぐ実行できるプログラム |
| セッション | 「こんにちは」から「さようなら」まで。論理的な意味での「開始」から「終了」までのこと |
| セッションID | セッションに付けた背番号 |
| セッションハイジャック | 他人のセッションIDを使うことで、そいつの振りをする悪いこと |
| ログイン | 認証を受けて使える状態にすること |
| サーバ | サービスや機能を提供する側のコンピュータ |
| なりすまし | 他の人のふりをすること |
問題
| 問題文 |
|---|
| ディレクトリトラバーサル攻撃に該当するものはどれか。 |
| ピヨ意訳：ディレクトリトラバーサル攻撃って、どんなの？ |
| 解答選択肢 | |
|---|---|
| ア | 攻撃者が，Webアプリケーションの入力データとしてデータベースへの命令文を構成するデータを入力し，管理者の意図していないSQL文を実行させる。 |
| ピヨ意訳：管理者の意図していないSQL文を実行させる攻撃 | |
| イ | 攻撃者が，パス名を使ってファイルを指定し，管理者の意図していないファイルを不正に閲覧する。 |
| ピヨ意訳：管理者の意図していないファイルを勝手に見る攻撃 | |
| ウ | 攻撃者が，利用者をWebサイトに誘導した上で，WebアプリケーションによるHTML出力のエスケープ処理の欠陥を悪用し，利用者のWebブラウザで悪意のあるスクリプトを実行させる。 |
| ピヨ意訳：利用者のコンピュータで悪いプログラムを実行させる攻撃 | |
| エ | セッションIDによってセッションが管理されるとき，攻撃者がログイン中の利用者のセッションIDを不正に取得し，その利用者になりすましてサーバにアクセスする。 |
| ピヨ意訳：別の利用者になりすましてサーバにアクセスする攻撃 | |
正解
| 正解 | |
|---|---|
| イ | 攻撃者が，パス名を使ってファイルを指定し，管理者の意図していないファイルを不正に閲覧する。 |
| ピヨ意訳：管理者の意図していないファイルを勝手に見る攻撃 | |
ピヨピヨ解説
ディレクトリトラバーサル攻撃の意味を知っているかの問題ですね。
ディレクトリトラバーサル攻撃は、特別な指定の仕方をすることで見られないはずのファイルの中身を見てやるぜ！な攻撃です。
プログラム内の「どんなファイルが欲しいんだい？」な処理に対して、プログラムを作った人が想定していなかったファイルを指定することで、本当は見られないはずだったファイルの中身を見ようとします。
ということで「イ：攻撃者が，パス名を使ってファイルを指定し，管理者の意図していないファイルを不正に閲覧する。」が正解です。
ちなみに「ア：攻撃者が，Webアプリケーションの入力データとしてデータベースへの命令文を構成するデータを入力し，管理者の意図していないSQL文を実行させる。」は「SQLインジェクション」の説明です。
「ウ：攻撃者が，利用者をWebサイトに誘導した上で，WebアプリケーションによるHTML出力のエスケープ処理の欠陥を悪用し，利用者のWebブラウザで悪意のあるスクリプトを実行させる。」は「クロスサイトスクリプティング」の説明です。
「エ：セッションIDによってセッションが管理されるとき，攻撃者がログイン中の利用者のセッションIDを不正に取得し，その利用者になりすましてサーバにアクセスする。」は「セッションハイジャック」の説明です。
気が向いたら、併せて覚えてあげてください。
