▼FE平成29年度春期：問37 ディレクトリトラバーサル攻撃に該当するものはどれか。
ア 攻撃者が、Webアプリケーションの入力データとしてデータベースへの命令文を構成するデータを入力し、管理者の意図していないSQL文を実行させる。
イ 攻撃者が、パス名を使ってファイルを指定し、管理者の意図していないファイルを不正に閲覧する。
ウ 攻撃者が、利用者をWebサイトに誘導した上で、WebアプリケーションによるHTML、出力のエスケープ処理の欠陥を悪用し、利用者のWebブラウザで悪意のあるスクリプトを実行させる。
エ セッションIDによってセッションが管理されるとき、攻撃者がログイン中の利用者のセッションIDを不正に取得し、その利用者になりすましてサーバにアクセスする。
▼上に出てきた用語の意味
【ディレクトリトラバーサル攻撃 directory traversal】利用者が供給した入力ファイル名のセキュリティ検証/無害化が不十分であるため、ファイルAPIに対して「親ディレクトリへの横断 (traverse)」を示すような文字がすり抜けて渡されてしまうような攻撃手法。（Wikipediaを修正）
【 traverse 】横断する。
【SQL インジェクション SQL Injection】攻撃者が、Webアプリケーションの入力データとしてデータベースへの命令文を構成するデータを入力し、管理者の意図していないSQL文を実行させる。
【クロスサイトスクリプティング cross site scripting】攻撃者が、利用者をWebサイトに誘導した上で、WebアプリケーションによるHTML、出力のエスケープ処理の欠陥を悪用し、利用者のWebブラウザで悪意のあるスクリプトを実行させる。
【クロスサイトリクエストフォージェリ cross-site request forgeries】Webアプリケーションの脆弱性を利用した攻撃。略称はCSRF（シーサーフ）。クロスサイトスクリプティング (XSS) と似ているが、全く異なる種類の攻撃。（Wikipediaを修正）
【 forgeries 】偽造。
【クリックジャッキング Clickjacking】ウェブページの利用者に対し悪意をもって使用される技術の一種。リンクやボタンなどの要素を隠蔽・偽装してクリックを誘い、利用者の意図しない動作をさせようとする手法。（Wikipediaを修正）
【ドライブバイダウンロード Drive-by download attack】ウェブブラウザなどを介して、ユーザに気付かれないようにソフトウェアなどをダウンロードさせる行為。（Wikipediaを修正）
▼今回の問いとFEのシラバス（セキュリティ）の関連を赤の★印、既出は橙色の★印で示しました。
表の出所 FEのシラバスから筆者が作成。
▼FEのシラバスでの位置付け
1.情報セキュリティ ＞（7）攻撃手法：情報システム、組織及び個人への不正な行為と手法を理解する。
［用語例］クロスサイトスクリプティング、クロスサイトリクエストフォージェリ、クリックジャッキング、ドライブバイダウンロード、SQL インジェクション、ディレクトリトラバーサル
解答イ