基本情報技術者試験 基本情報技術者試験 平成29年度 春期 午前 午前 問37: ディレクトリトラバーサル攻撃に該当するものはどれか。

正解

イ. 攻撃者が，パス名を使ってファイルを指定し，管理者の意図していないファイルを不正に閲覧する。

正答率 38.5%（633人中 244人が正解）

問題の解説

ディレクトリトラバーサル攻撃は、パス名 (../ 等) を使って許可されていないファイルを不正閲覧する攻撃。イが正解。

選択肢ごとの解説

• ア命令文を入力して SQL を実行させるのは SQL インジェクション。
• イパス名でファイル指定して不正閲覧。ディレクトリトラバーサルの定義で正解。
• ウHTML 出力経由でスクリプトを実行させるのは XSS。
• エセッション ID を不正取得するのはセッションハイジャック。