ディレクトリトラバーサルとは？基本情報技術者試験 平成26年度 秋期 午前 問44を解説

問題文

この問題の出題ポイント

• ディレクトリトラバーサルの定義だけでなく、問題文中の条件がどの選択肢に当てはまるかを確認する。
• 関連タグ: 攻撃手法、SQL、マークアップ言語。

選択肢

1. アWebアプリケーションの入力データとしてデータベースへの命令文を構成するデータを入力し，想定外のSQL文を実行させる。
2. イWebサイトに利用者を誘導した上で，Webアプリケーションによる HTML 出力のエスケープ処理の欠陥を悪用し，利用者のブラウザで悪意のあるスクリプトを実行させる。
3. ウセッションIDによってセッションが管理されるとき，ログイン中の利用者のセッションIDを不正に取得し，その利用者になりすましてサーバにアクセスする。
4. エパス名を含めてファイルを指定することによって，管理者が意図していないファイルを不正に閲覧する。正解

解説

なぜ他の選択肢が違うのか

• ア

  SQLインジェクションの説明です。

• イ

  クロスサイトスクリプティング(XSS)の説明です。

• ウ

  セッションハイジャックの説明です。

• エ（正解）

  相対パスでディレクトリを遡り意図外ファイルを閲覧する=ディレクトリトラバーサルの典型です。

解き方の整理

ディレクトリトラバーサルの問題では、選択肢のキーワードだけで判断せず、問題文が示す条件と正解選択肢の説明が一致しているかを見ます。誤答選択肢は、似た用語を混ぜる、主体を入れ替える、目的や範囲を広げすぎる、という形で作られることが多いため、選択肢別解説まで確認しておくと復習効率が上がります。

関連問題

前後の問題

平成26年度 秋期 午前 の関連する問題

平成26年度 秋期 午前の問題一覧 基本情報技術者試験の解説一覧