平成25年度 秋期 情報セキュリティスペシャリスト試験 午前Ⅱ 問16

✓ これが正解エ攻撃者が，ファイル名の入力を伴うアプリケーションに対して，上位のディレクトリを意味する文字列を使って，非公開のファイルにアクセスする。

解説

上位ディレクトリを指す文字列で非公開ファイルを読む攻撃です。

ディレクトリトラバーサル攻撃は、ファイル名の入力を受け取るアプリケーションを狙う攻撃です。攻撃者は、../ のような上位のディレクトリを意味する文字列をファイル名に混ぜて渡します。アプリケーションがそのままパスを組み立てると、公開用のディレクトリの外へたどって、本来は見せないファイルにアクセスできてしまいます。見分ける軸は、ディレクトリという語が出てくるかどうかではなく、ディレクトリをさかのぼってファイルに届く手口かどうかです。

ほかの選択肢はなぜ違うのか

• ア攻撃者が，OS の操作コマンドを利用する…：OS の操作コマンドを使うアプリケーションにコマンドを渡して実行させるのは、OS コマンドインジェクションです。作らせるのがディレクトリであっても、手口はコマンドの注入です。
• イ攻撃者が，SQL 文のリテラル部分の生成…：SQL 文のリテラル部分の生成に問題があるアプリケーションへ任意の SQL 文を渡すのは、SQL インジェクションです。データベースを不正に操作する攻撃で、パスをたどる手口ではありません。
• ウ攻撃者が，シングルサインオンを提供するデ…：不正に入手した認証情報でディレクトリサービスにログインするのは、他人へのなりすましです。シングルサインオンで複数のアプリケーションを使われる被害で、パスをたどる攻撃とは違います。