正答4
解説
正解は4です。
ディレクトリトラバーサル攻撃は、ファイル名の入力欄などに「../」のような親ディレクトリを示す文字列を含めて、公開されていないファイルにアクセスする攻撃です。
【選択肢別解説】
1：× 入力データにデータベースへの命令文を混ぜて想定外のSQL文を実行させるのは、SQLインジェクションです。
2：× HTML出力のエスケープ処理の欠陥を悪用し、利用者のブラウザで悪意のあるスクリプトを実行させるのは、クロスサイトスクリプティングです。
3：× ログイン中の利用者のセッションIDを不正に取得してなりすますのは、セッションハイジャックです。
4：○ パス名を含めてファイルを指定し、管理者が意図していないファイルを閲覧するのがディレクトリトラバーサル攻撃です。
ディレクトリ階層をさかのぼって（トラバースして）目的のファイルに到達します。
【ポイント】
対策は、入力されたファイル名からパス名の部分を取り除くことや、アクセスできるディレクトリを制限することです。
SQLインジェクション、クロスサイトスクリプティング、セッションハイジャックとの区別が頻出です。