情報セキュリティマネジメント試験 練習問題 76：Webアプリケーションの脆弱性
📊 Qraftユーザーの成績
- 難易度 Bランク（レーティング1200）
- 難易度 766位/2795問中
- 正答率 —（0回）
Webアプリケーションの脆弱性を突く「ディレクトリトラバーサル」攻撃について述べた文として、正しいものはどれか。
- 入力フォームに悪意のあるスクリプトを埋め込み、他の利用者のブラウザ上で実行させる攻撃手法である。
- 大量のデータや通信要求をサーバーに送りつけ、システムのリソースを枯渇させてサービスを停止させる攻撃。
- データベースへの問い合わせ言語の構文を悪用し、不正な命令を注入してデータを改ざんする攻撃手法である。
- パスを指定する文字列を悪用して上位階層を遡り、公開範囲外にある非公開ファイルを不正に閲覧する攻撃。
- セッションIDを推測したり盗聴したりすることで、正規の利用者に成りすましてシステムを操作する攻撃。
正解と解説を見る
正解：パスを指定する文字列を悪用して上位階層を遡り、公開範囲外にある非公開ファイルを不正に閲覧する攻撃。
ディレクトリトラバーサル攻撃に関する説明として、「パスを指定する文字列を悪用して上位階層を遡り、公開範囲外にある非公開ファイルを不正に閲覧する攻撃」が正解です。
【正解の理由】
ディレクトリトラバーサル（パストラバーサル）は、入力値として「../」のような親ディレクトリを示す文字列を挿入し、Webサーバ内の公開範囲外のファイル（パスワードファイルや設定ファイルなど）に不正にアクセスする攻撃です。
【不正解の理由】
• 「入力フォームに悪意のあるスクリプトを埋め込み、他の利用者のブラウザ上で実行させる攻撃手法である」という説明は、クロスサイトスクリプティング（XSS）であるため誤り
• 「大量のデータや通信要求をサーバーに送りつけ、システムのリソースを枯渇させてサービスを停止させる攻撃」という説明は、DoS攻撃やDDoS攻撃であるため誤り
• 「データベースへの問い合わせ言語の構文を悪用し、不正な命令を注入してデータを改ざんする攻撃手法である」という説明は、SQLインジェクションであるため誤り
• 「セッションIDを推測したり盗聴したりすることで、正規の利用者に成りすましてシステムを操作する攻撃」という説明は、セッションハイジャックであるため誤り