修了試験 2015-12-20実施分 基本情報技術者試験 問39

解説

正解は4です。 ディレクトリトラバーサルは、ファイル名を入力として受け取るWebアプリケーションに、「../」のような上位のディレクトリを指す文字列を含むパス名を与える攻撃です。 これによって、公開を意図していないディレクトリのファイルを不正に閲覧されます。 【選択肢別解説】 1：× 入力データにデータベースへの命令文の一部を混ぜて、想定外のSQL文を実行させるのは、SQLインジェクションです。 2：× HTML出力のエスケープ処理の欠陥を悪用し、利用者のブラウザで悪意のあるスクリプトを実行させるのは、クロスサイトスクリプティング（XSS）です。 3：× ログイン中の利用者のセッションIDを不正に取得し、その利用者になりすますのは、セッションハイジャックです。 4：○ パス名を含めてファイルを指定し、管理者が意図していないファイルを閲覧するのは、ディレクトリトラバーサルです。 【ポイント】 対策は、外部から入力されたファイル名にパス名を含めさせないことや、決められたディレクトリの中のファイルだけを扱うことです。