情報セキュリティマネジメント 平成29年度 春期 午前 問23

✓ これが正解イ 攻撃者が，パス名を使ってファイルを指定し，管理者の意図していないファイルを不正に閲覧する。

解説

パス名の指定で本来見せないファイルへたどり着く攻撃です。

ディレクトリトラバーサル攻撃は、ファイルの置き場所をたどる仕組みそのものを悪用します。利用者から受け取った文字列をそのままファイルの指定に使っているところがあると、上の階層へさかのぼるような書き方を混ぜ込まれ、公開するつもりのない場所のファイルまで指し示せてしまいます。その結果、管理者が見せるつもりのなかったファイルの中身が読み取られます。設問の選択肢のうち、パス名を使ってファイルを指定し、管理者の意図していないファイルを不正に閲覧するという記述が、この攻撃そのものの説明です。入力された文字列がそのままファイルの位置を決めてしまうところに弱さがあり、置き場所の指定のしかたを突く攻撃だという点が特徴になります。

ほかの選択肢の解説

• ア 攻撃者が，Webアプリケーションの入力データとしてデータベースへの命令文を構成するデータを入力し，管理者の意図していないSQL文を実行させる。：入力データとしてデータベースへの命令文を組み立てる文字列を送り込み、意図しない問合せを実行させるのはSQLインジェクションです。狙われるのはファイルの置き場所ではなく、データベースへの命令の組み立て方です。
• ウ 攻撃者が，利用者をWebサイトに誘導した上で，WebアプリケーションによるHTML出力のエスケープ処理の欠陥を悪用し，利用者のWebブラウザで悪意のあるスクリプトを実行させる。：HTML出力のエスケープ処理の欠陥を悪用し、誘い込んだ利用者のWebブラウザで悪意のあるスクリプトを動かすのはクロスサイトスクリプティングです。被害が現れるのは、誘導された利用者の画面の側になります。
• エ セッションIDによってセッションが管理されるとき，攻撃者がログイン中の利用者のセッションIDを不正に取得し，その利用者になりすましてサーバにアクセスする。：ログイン中の利用者のセッションIDを不正に取得し、その人になりすましてサーバへアクセスするのはセッションハイジャックです。ファイルの指定ではなく、認められた状態そのものを横取りする手口です。