【解答速報】情報処理安全確保支援士 令和６年度春季【午後 問３】

2024年4月21日実施の情報処理安全確保支援士解答速報

毎年のことながら７～８割の正解率かと思います。間違いや不明点ございましたらコメントください。

問３ セキュアプログラミング

設問1 [XSS について]について答えよ。

(1) 本文中の下線1について, 図3 中のリクエスト内のスクリプトが出力されるのはどの機能か。 表1の詳細機能に対する項番を選び答えよ。

解答

９

解説

(2) 本文中の下線 2について,攻撃者はどのような手順で利用者情報を取得するか。具体的に答えよ。

解答

問い合わせのnameパラメータにセッション情報を攻撃者のサーバに送信するjavascriptを仕込む。
管理画面の問い合わせ機能が使われるとサーバにセッション情報が送信されるため、攻撃者はセッション情報を利用して管理画面にアクセスし会員情報を参照する。

解説

試験対策的な解答方法

どうすれば利用者情報を取得できるかがポイントになります。本文中にはHTMLリクエストやセッション管理などの情報が散りばめられています。しかし、情報取得のカギとなるDBへのクエリ作成などは一切記述されていません。

上記のことから、SQLインジェクションなど直接DBの情報を搾取する攻撃手法ではないと推測できます。

ほかに使えそうな記述がないか探してみると、セッション管理で記述があります。

サイトXのログインセッション管理は, cookieパラメータのSESSIONIDで行う。SESSIONIDには、値とSecure属性だけがセットされる。

この記述で「HttpOnly属性が付与されていない」ことに気付けるかがポイントです。

HttpOnly属性が付与されていないということは、javascriptからセッション情報が取得できます。

XSSと組み合わせて、管理画面からアクセスした際に悪意のあるjavascriptを実行しセッション情報を攻撃者のサーバに送信することで攻撃成功です。

XSSを用いたセッションハイジャックですね。

例えば、下記のような攻撃コードが管理画面で実行されるように埋め込みます。

このコマンドが実行されると、syuntech.netのドメインにGETパラメータでセッション情報付きアクセスログが残ります。

この情報をもとに管理画面にアクセスし会員情報を参照します。

設問2 [CSRF について]について答えよ。

(1) 本文中の下線3について, 被害を与える攻撃の手順を具体的に答えよ。

解答

意図しない会員情報を更新する罠サイトを設置する。CSRFトークンは攻撃者の正規の値を利用する。

Xサイトにログイン状態の利用者を誘導し、会員機能（編集）にPOSTリクエストを送信する。

解説

(2) 表3中のa,dに入れる適切な内容を,“O”又は"x"から選び答えよ。

解答

	GET	POST
strict	a : ×	b : ×
lax	c : 〇	d : ×

解説

laxはクロスサイトの場合、GETリクエスト時のみcookie情報を送信します

設問3 [認可制御の不備について]について答えよ。

(1) 本文中の下線4について, どのような攻撃手法を用いれば攻撃が成功するか。 30字以内で答えよ。

解答

注文番号の英大文字6桁を総当たり攻撃でアクセスする

解説

(2) 本文中の下線5についてサイトXのWebアプリに追加すべき処理を,60字以内で具体的に答えよ。

解答

SESSIONIDで指定されたアカウントに紐付く注文情報のみ参照できるようにする

解説

設問4 [SSRF について]について答えよ。

(1) 本文中の下線6について ログインができないのはなぜか。 SSRF攻撃の特徴を基に, 35字以内で答えよ。

解答

ログイン画面は表示できるが、画面に対する操作を行うことはできないため

解説

(2) 本文中の下線7について, クレデンシャル情報を取得する方法を具体的に答えよ。

解答

パラメータにIMDSのプライベートIPアドレスを用いたURLを設定する。
レスポンス情報のクレデンシャル情報を利用する。

解説

(3) 本文中の下線8について,方法Gを用いてクレデンシャル情報を取得する方法を,具体的に答えよ。

解答

トークンを発行するURLにPUTメソッドでアクセスする
WebサーバYへのリクエストパラメータに改行文字を入れてリクエストを分割する
分割後のリクエストに取得したトークンをリクエストヘッダに含めて送信する

解説

(4) 本文中の下線9について,サイトYのWebアプリに追加すべき処理を,35字以内で具体的に答えよ。

解答

リクエストとして受け付けるパラメータは許可されたドメインに限定する

解説

エスケープとか対策はいろいろありそう

おすすめ参考書

情報処理教科書 情報処理安全確保支援士