正答3
解説
正解は3です。
Webアプリケーションに対する攻撃手法の名前を区別する問題です。
ディレクトリトラバーサルは、ファイル名に「../」などを含めて上位のディレクトリへたどり、公開されていないファイルにアクセスする攻撃です。
【選択肢別解説】
1：× 入力データにデータベースへの命令文を混ぜて、想定外のSQL文を実行させるのは、SQLインジェクションの説明です。
2：× 入力処理の欠陥を悪用して、利用者のブラウザで悪意のあるスクリプトを実行させるのは、クロスサイトスクリプティングの説明です。
3：○ 管理者が意図しないパスでファイルを指定し、本来は許されないファイルを閲覧します。
これがディレクトリトラバーサル攻撃です。
4：× 他人のセッションIDを不正に取得してなりすますのは、セッションハイジャックの説明です。
【ポイント】
ディレクトリトラバーサルの対策は、利用者の入力をファイル名に直接使わないことです。
使う場合は、「../」などのパスを表す文字を取り除いたり、ファイル名だけを取り出したりします。