正答2
解説
正解は2です。
Webアプリケーションに対する代表的な攻撃手法を見分ける問題です。
ディレクトリトラバーサル攻撃は、ファイル名を指定する入力に「../」などを含めて上位のディレクトリへたどり、公開していないファイルにアクセスする攻撃です。
【選択肢別解説】
1：× 入力データにSQL文の一部を混ぜ、管理者が意図しないSQL文を実行させるのは、SQLインジェクションの説明です。
2：○ パス名を使ってファイルを指定し、管理者が意図しないファイルを不正に閲覧させるのが、ディレクトリトラバーサル攻撃です。
3：× HTML出力のエスケープ処理の欠陥を悪用し、利用者のブラウザで悪意のあるスクリプトを実行させるのは、クロスサイトスクリプティング（XSS）の説明です。
4：× ログイン中の利用者のセッションIDを不正に取得し、その利用者になりすますのは、セッションハイジャックの説明です。
【ポイント】
ディレクトリトラバーサルの対策は、ファイル名に含まれる「../」などのパス文字を受け付けないことや、ファイル名を直接指定させない設計にすることです。