基本情報技術者試験 基本情報技術者試験 平成26年度 秋期 午前 午前 問44: ディレクトリトラバーサル攻撃に該当するものはどれか。

正解

エ. パス名を含めてファイルを指定することによって，管理者が意図していないファイルを不正に閲覧する。

正答率 59.2%（1,022人中 605人が正解）

問題の解説

ディレクトリトラバーサル攻撃は ../ などを用いて公開意図のないディレクトリ階層を辿り、本来アクセスできないファイル(/etc/passwd など)を取得しようとする攻撃です。

選択肢ごとの解説

• アSQLインジェクションの説明です。
• イクロスサイトスクリプティング(XSS)の説明です。
• ウセッションハイジャックの説明です。
• エ相対パスでディレクトリを遡り意図外ファイルを閲覧する=ディレクトリトラバーサルの典型です。