平成29年度 春期 午前 問37

✓ これが正解イ攻撃者が，パス名を使ってファイルを指定し，管理者の意図していないファイルを不正に閲覧する。

解説

パス名を書いて、見せる気のないファイルを読み出す攻めです。

ディレクトリトラバーサルは、道筋をたどって横切る攻めです。Web ページでは、利用者が指す名前でファイルを読み出すことがあります。その名前に、上へ戻る印を混ぜて渡すのがこの手口でした。上へ上へとさかのぼり、公開する気のない場所まで届きます。だからパス名で指して不正に閲覧する、という肢が当たります。入力に命じる文を混ぜて、データベースを操る攻めは別の名でした。問い合わせの文が組み立てられるところを突きます。読み出すのはファイルではなく、データベースの中身のほうでした。利用者の側で小さな仕掛けを動かす攻めも、また別です。出す前の処理に穴があると、書いた仕掛けがそのまま動きました。セッション ID を盗んで、その人になりすます攻めも違います。何を手掛かりに、どこへ届くのか。そこで手口は分かれました。

ほかの選択肢はなぜ違うのか

• ア攻撃者が，Web アプリケーションの入力…：入力に命じる文を混ぜると述べています。問い合わせの文が組み立てられるところを突きました。操られるのはデータベースの側です。道筋をさかのぼる手口ではありません。ファイルを直に指してもいないのです。突く場所が違いました。
• ウ攻撃者が，利用者を Web サイトに誘導…：利用者の側で小さな仕掛けを動かすと述べています。出す前の処理に穴があると起こりました。書いた仕掛けが利用者の画面で動きます。ファイルを読み出す手口ではありません。上へさかのぼる印も出てこないのです。届く先が別でした。
• エセッション ID によってセッションが管…：セッション ID を盗むと述べています。その人になりすまして入り込みました。狙われるのはセッション ID です。道筋を指してファイルを読む手口ではありません。公開していない場所へも届かないのです。狙う相手が違いました。セッション ID を盗む手口です。