平成25年度秋期 情報処理安全確保支援士 午前Ⅱ 問16

午前II 問16：`../`で裏口からファイルをのぞこうとする攻撃だよ

ディレクトリトラバーサル攻撃は、ファイル名などの入力に `../` みたいな「一つ上のフォルダへ戻る」合図を混ぜて、本来見せる予定のないファイルへアクセスしようとする攻撃だよ。たとえるなら、受付で案内された部屋だけを見るはずなのに、勝手に廊下を戻って関係者用の部屋を開けようとするイメージだね。

この問題で問われていること

この問題では、OSコマンドを勝手に実行させるOSコマンドインジェクションや、SQL文を改ざんするSQLインジェクションではなく、「パスを細工して非公開ファイルへ行こうとしている攻撃かどうか」を見分けられるかがポイントだよ。

ディレクトリトラバーサル

ファイル名を受け取る処理でパス検証が甘いと、攻撃者は上位ディレクトリへ抜けて設定ファイルや機密ファイルを読めることがある。

入力値に ../ などを混入\n-> 非公開ファイルへ到達\n-> 情報漏えい

確認ポイント

• OS コマンド実行ではありません。
• SQL 文の改変でもない。
• 上位ディレクトリ指定で非公開ファイルへアクセスする説明を選ぶ。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。これはOSコマンドインジェクションの説明だね。たとえるなら、窓口で本来は申請内容だけを書くところに、『倉庫を作れ』みたいな作業命令まで紛れ込ませる感じだよ。OSのコマンドを不正に実行させる攻撃であって、ファイルの場所をたどって盗み見る攻撃ではないよ。

選択肢イ

これは不正解だよ。これはSQLインジェクションの説明だね。たとえるなら、注文用紙の『商品名を書く欄』に、店員へ勝手な命令を書き込んで実行させるようなものだよ。データベースに不正なSQL文を混ぜ込む攻撃なので、ディレクトリトラバーサル攻撃ではないよ。

選択肢ウ

これは不正解だよ。これは不正に入手したIDやパスワードを使った、なりすましログインの説明だね。たとえるなら、盗んだ合鍵でビルに入り、ビル内のいろいろな部屋を使ってしまうようなものだよ。シングルサインオンは一度ログインすると複数サービスを使える仕組みだけど、これはディレクトリをたどって非公開ファイルにアクセスする話ではないよ。

選択肢エ（正解）

これが正解だよ。これはディレクトリトラバーサル攻撃の説明だね。たとえるなら、受付で『この部屋の資料だけ見ていいよ』と言われているのに、『../』のような“上の階へ戻る合図”を使って、関係者以外立入禁止の部屋のファイルまで見に行くようなものだよ。ファイル名入力を悪用して、本来アクセスできない上位ディレクトリや非公開ファイルにアクセスするので、まさにこの攻撃だよ。