平成30年度 春期 応用情報技術者試験 午前 問38

• ア: ディレクトリを作成するOSコマンドの文字列を入力して実行させる
  誤り。これはOSコマンドインジェクションの説明です。

• イ: 任意のSQL文を渡して実行させる
  誤り。これはSQLインジェクションの説明です。

• ウ: 不正に入手した認証情報でディレクトリサービスにログインする
  誤り。これは不正に入手した認証情報によるなりすましログインの説明です。

• エ: 上位のディレクトリを意味する文字列を入力して，非公開のファイルにアクセスする
  正しい。ディレクトリトラバーサルは，ファイル名の指定に「../」などの上位ディレクトリを示す文字列を含めることで，本来アクセスできないディレクトリにあるファイルにアクセスする攻撃です。

答え

エ: 上位のディレクトリを意味する文字列を入力して，非公開のファイルにアクセスする