平成26年度 秋期 午前 問44

✓ これが正解エパス名を含めてファイルを指定することによって，管理者が意図していないファイルを不正に閲覧する。

解説

パス名を指定して非公開のファイルを読み出す攻撃です。

ディレクトリトラバーサルは、たどるという意味の語を含む名のとおり、ファイルの置き場所をたどって、本来は見せないはずの場所まで行き着く攻撃です。四つの選択肢はどれも Web アプリケーションを狙う攻撃なので、Web を狙っているという点では見分けがつきません。判定の軸は、攻撃者が何を送り込んでいるかにあります。正解にあたるのは、パス名を含めてファイルを指定することによって、管理者が意図していないファイルを不正に閲覧すると述べた選択肢です。送り込んでいるのは置き場所を指す文字列で、上の階層へ登る書き方を並べることで公開の範囲の外へ出ます。だから守り方も、利用者から受け取った文字列をそのまま置き場所の指定に使わないという形になります。

ほかの選択肢はなぜ違うのか

• アWeb アプリケーションの入力データとし…：入力データとしてデータベースへの命令文を構成するデータを与え、想定外の SQL 文を実行させるという内容です。送り込んでいるのはデータベースへの命令であって、置き場所を指す文字列ではありません。
• イWeb サイトに利用者を誘導した上で，W…：HTML 出力のエスケープ処理の欠陥を悪用し、利用者のブラウザで悪意のあるスクリプトを実行させるという内容です。送り込むのは実行される小さなプログラムで、害を受けるのも利用者の側です。
• ウセッション ID によってセッションが管…：ログイン中の利用者のセッション ID を不正に取得し、その利用者になりすましてサーバにアクセスするという内容です。何かを送り込むのではなく、既にある目印を盗んで使う筋書きです。