平成27年度春期 システム監査技術者 午前Ⅰ 問15

攻撃手法を見分けるための観点

選択肢を比べるときは、名称や印象に引きずられず、攻撃が成立するまでの流れと、主にどの対象・段階へ働きかけているかという一つの観点に絞って整理し、説明の焦点が一貫しているかを確認しましょう。

この問題で問われていること

この問題では、各選択肢が説明している出来事を、発生のきっかけから影響が現れるまでの流れとして読み、どの時点の何を説明しているかに注目して比較することに集中してください。

視点

攻撃手法を整理するときは、用語の響きではなく、関係する対象、成立する前提、起きる変化を同じ枠組みで読み取ります。特に、説明の中心がどの段階に置かれているかを確認すると、似た表現の違いを落ち着いて比較できます。

確認ポイント

• 説明の中心となる対象や段階を読み取れているか
• 成立の前提と、その後に起きる変化を分けて整理できているか
• 各選択肢を同じ観点で比較し、表現の印象に流されていないか

正解

エ

解説

ディレクトリトラバーサルは、ファイルパスを組み立てる処理に対して上位ディレクトリを示す入力を与え、本来許可されない場所のファイルへ到達する攻撃です。

理由

ディレクトリトラバーサルは、入力値に上位のディレクトリを意味する文字列を含めることで、アプリケーションが想定したディレクトリの外側にあるファイルへアクセスさせる攻撃です。

比較

OSコマンドの実行はコマンドインジェクション、任意のSQL文の実行はSQLインジェクションに該当する。不正な認証情報による利用は認証・認可の問題であり、ファイルパスの階層移動を利用する本攻撃とは異なる。

選択肢ア

これは不正解だよ。OSの操作コマンドを利用するアプリケーションに、攻撃者が別のOSコマンドを実行させる内容であり、コマンドインジェクションに該当する。ディレクトリ階層を移動してファイルへ到達する攻撃ではないため、設問の定義と一致しない。

選択肢イ

これは不正解だよ。SQL文のリテラル部分に任意のSQL文を混入させて実行させる内容は、SQLインジェクションの説明である。データベースへの命令文を悪用する攻撃であり、ファイルパスの上位階層をたどるディレクトリトラバーサルとは異なる。

選択肢ウ

これは不正解だよ。不正に入手した認証情報でシングルサインオンへログインし、複数のアプリケーションを利用する内容は、認証情報の不正利用や認証・認可の問題を示している。ファイル名やディレクトリ階層を操作する攻撃ではない。

選択肢エ（正解）

これは正解だよ。入力文字列からアクセス先のファイル名を組み立てる処理に対し、上位のディレクトリを意味する文字列を入力して、本来の範囲外にある非公開ファイルへ到達している。これはディレクトリ階層を移動する攻撃の典型例である。

学習のポイント

攻撃名と、操作対象となるファイルパスの特徴を結び付けて覚える。