問38応用情報技術者 平成30年度 春期

解説

正解は4。ディレクトリトラバーサルは、入力された文字列からファイル名を組み立てるアプリケーションに、「../」のような上位ディレクトリを指す文字列を与え、本来は公開していないファイルを読み出す攻撃である。対策は、入力にパスを含めさせない、ファイル名を固定のディレクトリ内に限る、などである。

• 1は、OSコマンドを組み立てる処理に任意のコマンドを入れて実行させるOSコマンドインジェクションの説明。
• 2は、SQL文のリテラル部分の生成に問題があるところへ任意のSQL文を渡すSQLインジェクションの説明。
• 3は、不正に入手した認証情報でシングルサインオンにログインし、複数のアプリケーションを使う不正ログインの説明。

根拠：Webアプリケーションの脆弱性と攻撃手法の分類（ディレクトリトラバーサル、インジェクション系攻撃）。