応用情報技術者試験 応用情報技術者試験 令和3年度秋期 午前 問44: オープンリダイレクトを悪用した攻撃に該当するものはどれか。

正解

イ. Web サイトにアクセスすると自動的に他の Web サイトに遷移する機能を悪用し，攻撃者が指定した偽の Web サイトに誘導する。

正答率 61.0%（771人中 470人が正解）

問題の解説

オープンリダイレクトは、Web サイトの「指定した URL へ転送する」機能が、転送先を外部から自由に指定できる状態になっている脆弱性、またはそれを悪用する攻撃である。正規のサイトの URL を踏ませて、攻撃者が指定した偽サイトへ誘導し、フィッシングなどに使われる。

選択肢ごとの解説

• アHTML メールのリンクに偽サイトの URL を仕込む、フィッシングの手口である。正規サイトの転送機能を悪用するものではない。
• イ正しい。サイトに備わった自動的な転送機能を悪用し、攻撃者が指定した偽サイトへ利用者を誘導するのが、オープンリダイレクトを悪用した攻撃である。
• ウ不特定のホストからの DNS 問合せに応答するキャッシュサーバを踏み台にした、DNS リフレクタ攻撃（DDoS 攻撃）の説明である。
• エ設定の不備で第三者の要求も受け付けてしまうプロキシ（オープンプロキシ）を悪用し、送信元を偽ってメールを送る手口である。