平成29年度秋期 情報処理安全確保支援士 午前Ⅱ 問5

エクスプロイトコードって何？

エクスプロイトコードは、ソフトウェアやハードウェアの弱点、つまり脆弱性を実際に突くためのプログラムだよ。たとえるなら、家の鍵の壊れた部分を見つけて、そこから本当に侵入できるか試すための道具みたいなものだね。

この問題で問われていること

この問題では、製品を移行するためのツールや、試作品を作りながら開発する手法ではなく、「脆弱性を悪用するためのコード」がどれかを見分けられるかがポイントだよ。

エクスプロイトコード

脆弱性の存在を確認したり攻撃を自動化したりするために使われ、公開されると実害が広がりやすい。

脆弱性を悪用するコード\n-> 不正処理や侵入に利用

確認ポイント

• CSV 出力ツールではありません。
• プロトタイピング手法でもない。
• 脆弱性を利用するためのプログラムを選ぶ。

正解

エ

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア

これは不正解だよ。他の製品へ乗り換えやすいようにCSVなどでデータを書き出すプログラムの説明だね。引っ越し用に荷物リストを作るようなもので、弱点を悪用する道具ではないよ。

選択肢イ

これは不正解だよ。ハードディスクや暗号化ファイルを見たり管理したりする道具の説明で、たとえるなら“倉庫の中身を整理して見る管理ソフト”みたいなものだね。脆弱性を突くためのプログラムそのものではないよ。

選択肢ウ

これは不正解だよ。試作品を早く作って、利用者の反応を見ながら直していく開発手法の説明だね。たとえるなら、料理を少し作って味見してもらいながら完成させるやり方で、攻撃用のプログラムの説明ではないよ。

選択肢エ（正解）

これは正解だよ。ソフトウェアやハードウェアの脆弱性を利用するために作られたプログラムは、いわば“壊れた窓から入る手順を自動化した道具”のようなものだね。脆弱性を実際に突くためのコードなので、この説明が当てはまるよ。