修了試験 2018-07-22実施分 基本情報技術者試験 問38

解説

正解は2です。 ディレクトリトラバーサル攻撃は、ファイル名を指定する入力に"../"などのパス名を含めて、本来アクセスできないディレクトリのファイルを読み出す攻撃です。 【選択肢別解説】 1：× データベースへの命令文を構成する文字列を入力し、意図しないSQL文を実行させるのはSQLインジェクションです。 2：○ パス名を使ってファイルを指定し、管理者の意図していないファイルを不正に閲覧するのがディレクトリトラバーサル攻撃です。 例えば上位ディレクトリへ移動する指定で、公開ディレクトリの外にある設定ファイルを読み出します。 3：× HTML出力のエスケープ処理の欠陥を悪用し、利用者のブラウザで悪意のあるスクリプトを実行させるのはクロスサイトスクリプティング（XSS）です。 4：× ログイン中の利用者のセッションIDを不正に取得し、なりすましてアクセスするのはセッションハイジャックです。 【ポイント】 ディレクトリトラバーサルの対策は、入力されたファイル名からパス名の要素を取り除き、ファイル名だけを使うことです。 Webアプリケーションの代表的な攻撃名と手口を、対で覚えておきましょう。