情報セキュリティマネジメント試験 情報セキュリティマネジメント試験 平成29年度春期 午前 問23: ディレクトリトラバーサル攻撃に該当するものはどれか。

正解

イ. 攻撃者が，パス名を使ってファイルを指定し，管理者の意図していないファイルを不正に閲覧する。

正答率 67.4%（46人中 31人が正解）

問題の解説

本問はディレクトリトラバーサル攻撃の特徴を問う。ディレクトリトラバーサル攻撃は、ファイルのパス名に「../」などの相対パスを混入させ、本来公開されていない上位ディレクトリのファイルに不正アクセスする手口である。正解はイで、パス名を使って意図しないファイルを不正に閲覧する記述がこれに該当する。

選択肢ごとの解説

• ア誤り。入力データに命令文を混ぜて意図しないSQLを実行させるのはSQLインジェクションの説明である。
• イ正しい。パス名を悪用して管理者の意図しないファイルを不正に閲覧するのがディレクトリトラバーサル攻撃である。
• ウ誤り。HTML出力のエスケープ不備を突き利用者のブラウザでスクリプトを実行させるのはクロスサイトスクリプティング（XSS）である。
• エ誤り。利用者のセッションIDを盗んでなりすますのはセッションハイジャックの説明である。