令和6年度秋期システム監査技術者試験午前II 問18

テクノロジセキュリティ技術

この問題は2024(R6)秋システム監査技術者午前IIに出題されたものです。出題時点の法令・制度に基づく内容のため、現行の内容と一致しない場合があります。

本ページの問題文・選択肢は、原本の体裁を Web 表示用に正規化しています（改行・記号・数式・図表参照の調整）。設問の趣旨および正解に影響する変更は加えていません。

オープンリダイレクトを悪用した攻撃に該当するものはどれか。

ア. HTMLメールのリンクを悪用し，HTMLメールに，正規のWebサイトとは異なる偽のWebサイトのURLをリンク先に指定することによって，リンクをクリックした利用者を偽のWebサイトに誘導する。

イ. WebサイトにアクセスするとURL中のパラメータで指定された他のWebサイトに遷移する機能を悪用し，利用者を偽のWebサイトに誘導する。

ウ. インターネット上の不特定多数のホストからDNSリクエストを受け付けて応答するDNSキャッシュサーバを悪用し，Webサーバに大量のDNSのレスポンスを送り付け，リソースを枯渇させる。

エ. 設定の不備によって，正規の利用者以外からの電子メールやWebサイトへのアクセス要求を受け付けるプロキシを悪用し，送信元を偽った迷惑メールの送信を行う。

解答・解説を読む

正解: 選択肢イ

正解はイです。実際の改行文字の指示に従って改行を行います。

オープンリダイレクト（Open Redirect） とは、Webアプリケーションにおいて、パラメータで指定されたURLへ遷移（リダイレクト）する機能を持つ場合、そのリダイレクト先URLの妥当性検証が不十分であるために生じる脆弱性のことです。この脆弱性を悪用すると、攻撃者はユーザーを正規のWebサイトを経由して、全く別の悪意あるWebサイト（フィッシングサイトなど）へ意図せず誘導させることができます。

各選択肢の解説

ア：HTMLメールにおけるリンクの偽装を用いたフィッシングの一般的な手口です。Webサイトのリダイレクト機能の悪用ではありません。
イ：正解です。URL中のパラメータで指定された他のWebサイトに遷移する機能を悪用し、利用者を偽のWebサイトに誘導する攻撃はオープンリダイレクト攻撃に該当します。
ウ：DNSリフレクション攻撃（DNSアンプ攻撃） の説明です。オープンリゾルバ（不特定多数からDNSリクエストを受け付けるDNSキャッシュサーバ）を悪用し、標的のWebサーバへ大量のレスポンスを送り付けてリソースを枯渇させます。
エ：オープンプロキシ（またはオープンリレー） を悪用した攻撃の説明です。第三者中継を許可しているプロキシやメールサーバを悪用し、送信元を偽装した迷惑メール（スパムメール）などを送信します。