応用情報技術者試験 応用情報技術者試験 平成30年度春期 午前 問38: ディレクトリトラバーサル攻撃はどれか。

正解

エ. 入力文字列からアクセスするファイル名を組み立てるアプリケーションに対して，攻撃者が，上位のディレクトリを意味する文字列を入力して，非公開のファイルにアクセスする。

正答率 44.5%（1,372人中 611人が正解）

問題の解説

ディレクトリトラバーサル攻撃は、入力値でファイル名を指定させるアプリケーションに対し、上位のディレクトリを表す「../」などを入力に含めて、公開されていない場所のファイルを読み出す攻撃である。入力値の検査やパス名の正規化が不十分だと成立する。OS コマンドや SQL 文を実行させる攻撃や、認証情報の不正利用とは別の攻撃である。

選択肢ごとの解説

• アディレクトリを作成する OS コマンドを実行させる手口は、OS コマンドインジェクションである。
• イ任意の SQL 文を実行させる手口は、SQL インジェクションである。
• ウ不正に入手した認証情報でログインして、複数のアプリケーションを不正に使うのは、なりすましによる不正ログインである。「ディレクトリ」の語が共通するだけで、トラバーサルとは関係がない。
• エ正しい。「../」のような上位のディレクトリを意味する文字列で、非公開のファイルへ到達するのが、ディレクトリトラバーサルである。