応用情報技術者試験 応用情報技術者試験 令和3年度秋期 午前 問44: オープンリダイレクトを悪用した攻撃に該当するものはどれか。

正解

イ. Web サイトにアクセスすると自動的に他の Web サイトに遷移する機能を悪用し，攻撃者が指定した偽の Web サイトに誘導する。

正答率 60.8%（768人中 467人が正解）

問題の解説

オープンリダイレクトという脆弱性の特徴を問う問題です。オープンリダイレクトとは、Webサイトが持つ“指定したURLへ自動転送(リダイレクト)する機能”が、転送先を十分に検証しないために任意の外部サイトへ飛ばせてしまう弱点を指します。これを悪用すると、利用者は正規サイトのURL経由でアクセスしたつもりが攻撃者の用意した偽サイトへ誘導されるため、自動遷移機能の悪用を述べたイが正解です。

選択肢ごとの解説

• ア偽サイトのURLをリンクに直接書いて誘導するのは単純なフィッシングであり、正規サイトの転送機能を悪用するオープンリダイレクトとは仕組みが異なるため誤り。
• イ正規サイトの自動転送(リダイレクト)機能を悪用して攻撃者の偽サイトへ飛ばすのはオープンリダイレクトそのものであり、正しい。
• ウ不特定多数から問合せを受け付けるDNSサーバを踏み台に大量の応答を集中させてリソースを枯渇させるのはDNSリフレクタ(増幅)攻撃の説明であり、オープンリダイレクトではないため誤り。
• エ設定不備で外部からの要求を中継してしまうプロキシ(オープンプロキシ/オープンリレー)を悪用した迷惑メール送信の説明であり、別の脆弱性なので誤り。