問題 No.3732
Webアプリケーションの脆弱性を利用し、通常はアクセスできないサーバー内の上位ディレクトリにある設定ファイルやシステムファイルを不正に閲覧する攻撃手法はどれか。
【正解の解説】
ディレクトリトラバーサル
マンションの合鍵を使って、本来は管理人のみが入れる立ち入禁止の管理人室に侵入し、重要書類を勝手に見るようなものです。URLに「../」という階層を戻る特殊な文字を意図的に含めることで、システムが想定していない上位のフォルダへ強引に移動してしまい、パスワードファイルなどの機密情報を盗み出します。
スポンサーリンク
【その他の選択肢の解説】
クロスサイトスクリプティング
ディレクトリトラバーサルが「サーバー内のファイルの中身を見る攻撃」であるのに対し、こちらは「ユーザーのブラウザ上で勝手にプログラムを動かしてクッキーなどを盗む攻撃」です。攻撃のターゲットがサーバー内部かユーザーの端末かという点で全く異なるため、混同しないように注意しましょう。
SQLインジェクション
ディレクトリトラバーサルがファイルパスの階層操作を悪用するのに対し、こちらは入力欄にデータベースの言語であるSQLの命令文を混ぜ込む点が異なります。どちらもWebアプリケーションの脆弱性を突く攻撃の代表例ですが、攻撃の仕組みやターゲットがデータベースであるかファイルであるかという決定的な違いがあります。
バッファオーバーフロー
ディレクトリトラバーサルがパスの階層構造の不備を突くのに対して、こちらはメモリの管理上の隙を突くまったく異なる仕組みの攻撃です。どちらもセキュリティ上の重大な脆弱性ですが、攻撃手法のメカニズムや防ぎ方が根本的に異なるため、言葉の意味と攻撃のイメージをしっかりと区別して覚えましょう。