平成27年度 春期 応用情報技術者試験 午前 問46

• ア: OS のディレクトリ作成コマンドを渡して実行する
  誤り。これは OS コマンドインジェクションの説明です。

• イ: 任意の SQL 文を渡して実行する
  誤り。これは SQL インジェクションの説明です。

• ウ: 不正に入手した認証情報でログインし，複数のアプリケーションを不正使用する
  誤り。これは認証情報を悪用したなりすましの説明で，ディレクトリトラバーサルとは関係ありません。

• エ: 上位のディレクトリを意味する文字列を入力して，非公開のファイルにアクセスする
  正しい。ディレクトリトラバーサル攻撃は，ファイル名の入力に「../」などの上位ディレクトリを表す文字列を含めることで，本来アクセスできないディレクトリにある非公開のファイルを読み出す攻撃です。

答え

エ: 上位のディレクトリを意味する文字列を入力して，非公開のファイルにアクセスする