平成25年度 秋期 情報セキュリティスペシャリスト試験 午前II 問16

【解説】

ア: OSの操作コマンドを利用するアプリケーションに対して，OSのディレクトリ作成コマンドを渡して実行する。
誤り。これはOSコマンドインジェクションの一例であり、ディレクトリトラバーサル攻撃とは異なります。

イ: SQL文のリテラル部分の生成処理に問題があるアプリケーションに対して，任意のSQL文を渡して実行する。
誤り。これはSQLインジェクション攻撃です。

ウ: シングルサインオンを提供するディレクトリサービスに対して，不正に入手した認証情報を用いてログインし，複数のアプリケーションを不正使用する。
誤り。これは認証情報の不正利用による不正ログインの例です。

エ: ファイル名の入力を伴うアプリケーションに対して，上位のディレクトリを意味する文字列を使って，非公開のファイルにアクセスする。
正しい。これはディレクトリトラバーサル（パストラバーサル）攻撃の代表的な手法で、`../`などを使って上位ディレクトリに遡り、機密ファイルへ不正にアクセスします。