SC情報処理安全確保支援士試験午後Ⅱ

平成30年度春期情報処理安全確保支援士午後Ⅱ 問4

事例を読んで設問の答えを考えてから、解説のポイントとIPA公式の解答例・採点講評で確認しましょう。

問題

問4 〔WebサイトZに対する診断の実施] について、 ①~て(④に答えよ。 Q) 表4申の[ g |]、[| : |] に入れる適切な数値を答えよ。 ⑫ 図8中及び図9中の| j | に入れる適切な文字列を解答群の中から選び、記号で答えよ。解答殺ア "><script>alert(NG):</script> イDialertCNGウmlertCNG): エ <script>alertCNG):</script> ⑬ 表5中の[ 」 |] に入れる適切な操作内容を、表2中の画面居移を指定して40字以内で述べよ。 ④⑲ 図10中の| k |] に入れる適切な字句を、表5の方法を踏まえて、 15字以内で答えよ。また、図10中のに入れる適切な字句を、表5の方法を踏まえて、 20字以内で具体的設

解き方のヒントを見る

問04：入力のいたずらと権限チェックを見抜こう

この問題のポイントは、表4の数字をただ確認するだけじゃないよ。たとえば、受付フォームに変な文字列を入れて店員さんの反応を見るように、`"><script>alert(NG):</script>` みたいな攻撃用の文字列を入れて画面や処理がどう動くかを確認するんだ。さらに、商品の合い言葉みたいな `code` の値を書き換えて、本来買えない限定商品を不正に取れないかも見るよ。あわせて、一般利用者と管理者のように権限が違う人でログインして、できる操作・できない操作がちゃんと分かれているかを確認することが大事だよ。

この問題で問われていること

診断結果を見て、『入力値を勝手に変えられる危険』と『本来できない操作までできてしまう権限管理の不備』の両方から、何が問題なのかを正しく読み取れるかが問われているよ。

Web Diagnosis for Tampering and Authorization Flaws

the diagnosis verifies numeric discrepancies、 malicious payload handling、 code-parameter tampering、 and differences in permitted actions across roles

check counts\ntry XSS payloads\ntamper with code parameter\ncompare behavior across roles

確認ポイント

攻撃文字列の意味を理解する。
権限差による挙動確認を入れる。
数値確認だけで終わらせない。

正解と解説を見る

解説

公式過去問です。問題冊子と解答例を参照して確認してください。

公式問題冊子

問題冊子: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000fabr-att/2018h30h_sc_pm2_qs.pdf

公式解答例

解答例: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000fabr-att/2018h30h_sc_pm2_ans.pdf

採点講評

採点講評: https://www.ipa.go.jp/shiken/mondai-kaiotu/gmcbt8000000fabr-att/2018h30h_sc_pm2_cmnt.pdf

学習のポイント

公式問題冊子、解答例、採点講評を併読して要点を整理してください。

出典：独立行政法人情報処理推進機構（IPA）平成30年度春期情報処理安全確保支援士試験午後Ⅱ 問4（公式資料：問題冊子（PDF）／解答例／採点講評）

平成30年度春期 情報処理安全確保支援士 午後Ⅱ 問4

問題