平成27年度 春期 応用情報技術者 問46

正解 エ

ファイル名を組み立てる処理に「../」などの上位ディレクトリを示す文字列を入力し、非公開のファイルにアクセスする攻撃がディレクトリトラバーサルです。

ディレクトリトラバーサルは、入力値からファイルのパス名を組み立てるアプリケーションの脆弱性を突く攻撃です。攻撃者は「../」のような上位ディレクトリを示す文字列を入力します。これにより、公開用ディレクトリの外にある、本来アクセスできないファイルを読み出したり書き換えたりします。「ファイル名を組み立てる」「上位のディレクトリを意味する文字列」が決め手です。対策には、入力値をファイル名に直接使わないことや、パス名を正規化して許可したディレクトリ内かを確かめることがあります。

ア：OSコマンドインジェクションは、アプリケーション経由で任意のOSコマンドを実行させる攻撃です。

イ：SQLインジェクションは、SQL文の組立ての不備を突いて任意のSQL文を実行させる攻撃です。

ウ：不正に入手した認証情報で他人になりすましてログインする攻撃で、なりすましにあたります。ディレクトリサービスを狙っていても、ディレクトリトラバーサルではありません。

出典：平成27年度 春期 応用情報技術者試験 問46