応用情報技術者試験 応用情報技術者試験 平成30年度春期 午前 問38: ディレクトリトラバーサル攻撃はどれか。

正解

エ. 入力文字列からアクセスするファイル名を組み立てるアプリケーションに対して，攻撃者が，上位のディレクトリを意味する文字列を入力して，非公開のファイルにアクセスする。

正答率 44.6%（1,371人中 611人が正解）

問題の解説

ディレクトリトラバーサル攻撃は、入力された文字列からアクセスするファイルのパスを組み立てるアプリケーションに対し、上位ディレクトリを示す「..」(相対パス)などを含む文字列を入力して、本来公開していない上位階層のファイルへ不正にアクセスする攻撃である。これを述べたエが正解。

選択肢ごとの解説

• アOSコマンドの文字列を入力して実行させるのはOSコマンドインジェクションの説明であり、ディレクトリトラバーサルではない。
• イ任意のSQL文を渡して実行させるのはSQLインジェクションの説明であり、ディレクトリトラバーサルではない。
• ウ不正入手した認証情報でシングルサインオンを悪用するのは不正ログイン(なりすまし)の説明であり、ディレクトリトラバーサルではない。
• エ「..」などの上位ディレクトリ文字列を入力して非公開ファイルにアクセスするのがディレクトリトラバーサル攻撃であり、正しい。