• プログラミング教室、小中高生、大人、コンピュータ科学

▼FE平成29年度春期:問37 ディレクトリトラバーサル攻撃に該当するものはどれか。

ア 攻撃者が、Webアプリケーションの入力データとしてデータベースへの命令文を構成するデータを入力し、管理者の意図していないSQL文を実行させる。

イ 攻撃者が、パス名を使ってファイルを指定し、管理者の意図していないファイルを不正に閲覧する。

ウ 攻撃者が、利用者をWebサイトに誘導した上で、WebアプリケーションによるHTML、出力のエスケープ処理の欠陥を悪用し、利用者のWebブラウザで悪意のあるスクリプトを実行させる。

エ セッションIDによってセッションが管理されるとき、攻撃者がログイン中の利用者のセッションIDを不正に取得し、その利用者になりすましてサーバにアクセスする。

▼上に出てきた用語の意味
【ディレクトリトラバーサル攻撃 directory traversal】利用者が供給した入力ファイル名のセキュリティ検証/無害化が不十分であるため、ファイルAPIに対して「親ディレクトリへの横断 (traverse)」を示すような文字がすり抜けて渡されてしまうような攻撃手法。(Wikipediaを修正)

【 traverse 】横断する。

【SQL インジェクション SQL Injection攻撃者が、Webアプリケーションの入力データとしてデータベースへの命令文を構成するデータを入力し、管理者の意図していないSQL文を実行させる。

【クロスサイトスクリプティング cross site scripting】攻撃者が、利用者をWebサイトに誘導した上で、WebアプリケーションによるHTML、出力のエスケープ処理の欠陥を悪用し、利用者のWebブラウザで悪意のあるスクリプトを実行させる。

【クロスサイトリクエストフォージェリ cross-site request forgeries】Webアプリケーションの脆弱性を利用した攻撃。略称はCSRF(シーサーフ)。クロスサイトスクリプティング (XSS) と似ているが、全く異なる種類の攻撃。(Wikipediaを修正)

【 forgeries 】偽造。

【クリックジャッキング Clickjacking】ウェブページの利用者に対し悪意をもって使用される技術の一種。リンクやボタンなどの要素を隠蔽・偽装してクリックを誘い、利用者の意図しない動作をさせようとする手法。(Wikipediaを修正)

【ドライブバイダウンロード Drive-by download attack】ウェブブラウザなどを介して、ユーザに気付かれないようにソフトウェアなどをダウンロードさせる行為。(Wikipediaを修正)

▼今回の問いとFEのシラバス(セキュリティ)の関連を赤の★印、既出は橙色の★印で示しました。

表の出所 FEのシラバスから筆者が作成。

▼FEのシラバスでの位置付け
1.情報セキュリティ >(7)攻撃手法:情報システム、組織及び個人への不正な行為と手法を理解する。
[用語例]クロスサイトスクリプティング、クロスサイトリクエストフォージェリ、クリックジャッキング、ドライブバイダウンロード、SQL インジェクション、ディレクトリトラバーサル
解答イ