平成30年度 春期 応用情報技術者 問38

正解 エ

ディレクトリトラバーサルは、「../」のような上位ディレクトリを示す文字列をファイル名に混ぜ、公開範囲外のファイルにアクセスする攻撃です。

ディレクトリトラバーサル攻撃は、入力値からファイルのパス名を組み立てるアプリケーションを狙います。攻撃者は「../」など上位ディレクトリを意味する文字列を入力し、本来は公開していないファイルを読み出します。決め手は「ファイル名を組み立てる」と「上位のディレクトリを意味する文字列」という語です。対策には、入力からパスを直接組み立てないことや、パス名を正規化して許可した範囲内か確かめることがあります。

ア：OSコマンドインジェクションは、アプリケーションにOSコマンドの文字列を入力し、不正に実行させる攻撃です。

イ：SQLインジェクションは、SQL文の組立てに問題がある箇所を突き、任意のSQL文を実行させる攻撃です。

ウ：不正に入手した認証情報によるなりすましログインです。「ディレクトリサービス」という語があっても、ディレクトリトラバーサルではありません。

出典：平成30年度 春期 応用情報技術者試験 問38