情報処理安全確保支援士試験 情報セキュリティスペシャリスト試験 平成27年度春期 午前Ⅰ 問15: ディレクトリトラバーサル攻撃はどれか。

正解

エ. 入力文字列からアクセスするファイル名を組み立てるアプリケーションに対して，攻撃者が，上位のディレクトリを意味する文字列を入力して，非公開のファイルにアクセスする。

問題の解説

ディレクトリトラバーサル攻撃は、ファイル名を入力から組み立てるアプリに対し「../」など上位ディレクトリを示す文字列を与え、本来公開していないファイルへ不正アクセスする手法。エが該当する。対策は入力値の検証やパスの正規化、ファイルアクセス権の最小化。Webアプリで頻出の脆弱性であり、ユーザ入力をそのままパスに使わない設計が重要である。

選択肢ごとの解説

• アOSコマンドを注入して実行させるOSコマンドインジェクションの説明で、パス遡上ではなく誤り。
• イ任意のSQL文を注入するSQLインジェクションの説明であり、ディレクトリトラバーサルではなく誤り。
• ウ盗んだ認証情報でSSOに不正ログインする攻撃の説明で、パス文字列による不正アクセスではなく誤り。
• エ「../」等の上位ディレクトリ指定で非公開ファイルへアクセスする、ディレクトリトラバーサルの定義どおりで正しい。