修了試験 2017-01-22実施分 基本情報技術者試験 問36

解説

正解は4です。 ディレクトリトラバーサル攻撃は、ファイル名を入力から組み立てるアプリケーションの不備を突く攻撃です。 「../」のような上位ディレクトリを指す文字列を入力して、公開していないファイルにアクセスします。 【選択肢別解説】 1：× OSのコマンドを渡して実行させる攻撃は、OSコマンドインジェクションです。 2：× 任意のSQL文を渡して実行させる攻撃は、SQLインジェクションです。 3：× 不正に入手した認証情報でログインし、複数のアプリケーションを使う行為は、なりすましによる不正ログインです。 ディレクトリサービスという言葉が使われていますが、別の攻撃です。 4：○ 上位ディレクトリを意味する文字列で非公開のファイルにアクセスする攻撃で、ディレクトリトラバーサルの説明と一致します。 【ポイント】 対策は、入力されたファイル名からディレクトリ名を取り除く、アクセスできるディレクトリを固定するなどです。 各種インジェクション攻撃と合わせて、攻撃名と手口の対応を覚えましょう。