SC情報処理安全確保支援士試験午後Ⅱ

平成27年度春期情報処理安全確保支援士午後Ⅱ 問6

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

問6 〔Webフォームについての検討]について、 (①⑪、 (②に答えよ。 Q①) 本文中の下線のについて、連絡用メールアドレスとお問合せ内容に何を入力すれば悪用することができるか。それぞれ20字以内で答えよ。 ⑫ 図11中の| f |] に入れる適切な文字列を一つ挙げ、英字及び記号15字以内で答えよ。 = 性メモ用紙} ー15一

解き方のヒントを見る

問06

Webフォームは一見ただの受付窓口だけど、攻撃者にとっては“別ルートの投入口”にもなるんだよ。連絡用メールアドレス欄や問合せ内容欄に、標的のメールアドレスや誘導先URLをこっそり入れられると、そこから悪用される可能性がある。さらに、`hhttp://ttp` みたいにURLっぽさを隠す回避表現もあるから、入力内容はそのまま信じずに検査・正規化して、受付経路として悪用されないようにしよう。

この問題で問われていること

メール以外の代替チャネルとして用意したWebフォームも、攻撃者に使われる“抜け道”になり得ると理解できているかがポイントだよ。

Web Form Abuse Prevention

web inquiry forms can be abused by injecting target email addresses and lure URLs、 including obfuscated strings、 so validation and normalization are required

email field can target victims\nmessage can carry lure URL\nhandle obfuscated strings\nvalidate and normalize input

確認ポイント

フォーム自体が攻撃経路になる。
メールアドレス欄と本文欄を別々に考える。
難読化文字列も検査対象にする。

正解と解説を見る

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p90000000f52-att/2015h27h_sc_pm2_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p90000000f52-att/2015h27h_sc_pm2_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/ug65p90000000f52-att/2015h27h_sc_pm2_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。

出典：独立行政法人情報処理推進機構（IPA）平成27年度春期情報処理安全確保支援士試験午後Ⅱ 問6（公式資料：問題冊子（PDF）／解答例／採点講評）

平成27年度春期 情報処理安全確保支援士 午後Ⅱ 問6

問題

問06