修了試験 2013-07-28実施分 基本情報技術者試験 問45

解説

正解は3です。 Webアプリケーションへの攻撃のうち、ディレクトリトラバーサル攻撃の説明を選ぶ問題です。 【選択肢別解説】 1：× データベースへの命令文となる文字列を入力し、想定外のSQL文を実行させるのは、SQLインジェクションの説明です。 2：× 利用者をWebサイトに誘導し、入力処理の欠陥を突いて利用者のブラウザで悪意のあるスクリプトを実行させるのは、クロスサイトスクリプティングの説明です。 3：○ ディレクトリトラバーサルの説明です。 「../」のような上位ディレクトリを指す文字列でパスを指定し、本来公開していないファイルを閲覧します。 4：× 利用者のセッションIDを盗んでその利用者になりすますのは、セッションハイジャックの説明です。 【ポイント】 ディレクトリトラバーサルの対策は、外部から渡された値でファイル名を直接指定しないことです。 ファイル名からディレクトリ部分を取り除く処理も有効です。