修了試験 2023-01-22実施分 基本情報技術者試験 問36

解説

正解は2です。 オープンリダイレクトとは、URLのパラメータなどで指定された任意の転送先へ、利用者を自動的に移動させてしまう脆弱性です。 利用者は正規のWebサイトのURLを開いたつもりで、攻撃者の偽サイトへ誘導されてしまいます。 【選択肢別解説】 1：× HTMLメールのリンク先に偽サイトのURLを直接指定して誘導するのは、一般的なフィッシングの手口です。 正規サイトの転送機能を悪用するものではありません。 2：○ アクセスすると自動的に他のWebサイトへ遷移する機能を悪用し、攻撃者が指定した偽サイトに誘導するのが、オープンリダイレクトを悪用した攻撃です。 3：× 外部からの問合せを受け付けるDNSキャッシュサーバを悪用し、大量の応答を攻撃対象に送り付けるのは、DNSリフレクション攻撃（DNSアンプ攻撃）です。 4：× 設定不備で誰でも利用できるプロキシを悪用して送信元を偽った迷惑メールを送るのは、オープンプロキシの悪用です。 リダイレクト機能とは関係ありません。 【ポイント】 オープンリダイレクトでは、URLの先頭部分が正規ドメインなので利用者が信用しやすいことが危険な点です。 対策は、転送先を固定するか、許可したURLだけに転送するよう制限することです。