セキュリティ
平成26年度 秋期 基本情報技術者試験 午前 問44
ディレクトリトラバーサル攻撃に該当するものはどれか。
- ア Web アプリケーションの入力データとしてデータベースへの命令文を構成するデータを入力し，想定外の SQL 文を実行させる。
- イ Web サイトに利用者を誘導した上で，Web アプリケーションによる HTML 出力のエスケープ処理の欠陥を悪用し，利用者のブラウザで悪意のあるスクリプトを実行させる。
- ウ セッション ID によってセッションが管理されるとき，ログイン中の利用者のセッション ID を不正に取得し，その利用者になりすましてサーバにアクセスする。
- エ パス名を含めてファイルを指定することによって，管理者が意図していないファイルを不正に閲覧する。
出典：平成26年度 秋期 基本情報技術者試験 午前 問44
答えと解説を見る
正解：エ
覚える知識
ディレクトリトラバーサル攻撃の定義
ディレクトリトラバーサルは相対パスを悪用して非公開ファイルにアクセスする攻撃である。
この問題で必要なこと
パス名(../等)の指定により、公開を意図していないファイルを不正に閲覧する攻撃。
ひっかけ
アはSQLインジェクション、イはクロスサイトスクリプティング、ウはセッションハイジャック。
この知識の出題：本試験系 3 回・免除試験 6 回（公開問題での観測値）