情報処理安全確保支援士試験 2012年 春期 午後1 問02

模範解答

解説

解答の論理構成

1. 攻撃1の条件を整理
   • 【問題文】には「攻撃1:IPアドレスが[　a　]の攻撃者が、[　b　].cgiに対しSQLインジェクションによって全会員分に当たる約8,000件の会員ID及びパスワードを窃取していた。」とあります。
   • したがって、(i) SQLインジェクションで (ii) “会員ID及びパスワード” の両方を取り出すクエリを (iii) 同じ IP から実行している行を探します。
2. HTTP アクセスログから該当行を抽出
   • 番号「21」には
     「ipH GET search.cgi item=gf12' union select cust_id, pwd, null, null from m_user where '1' = '1'&kind=09」
     が記録されています。
   • このクエリは union select cust_id, pwd ... によって m_user テーブルから “cust_id” と “pwd” の両列を取得しており、条件(i)(ii)を満たします。
3. 他の候補行との比較
   • 番号「7」は「ipC」が and select cust_id, pwd, null, null ... を実行していますが、同 IP「ipC」は番号「18」で <script> を埋め込む XSS も行っており、攻撃3（「異なる手口」）の流れと符合します。
   • 番号「12」「17」は “pwd” のみ、または “cust_id” のみを取得しているため、会員IDとパスワードを同時に窃取した条件(ii)を満たしません。
   • よって、条件を同時に満たすのは IP「ipH」のみです。
4. 以上から、[　a　] に入る IP アドレスは「ipH」と結論付けられます。

誤りやすいポイント

• 「cust_id と pwd の両方」を取得しているかどうかを見落とす
• union select と and select の違いを軽視し、テスト的なクエリ（番号7）を攻撃本番と誤認する
• XSS や改ざんのログ（番号18, 22）と SQL インジェクションによる情報窃取を混同する

FAQ

模範解答

解説

解答の論理構成

1. 【問題文】には「攻撃1:IPアドレスが[　a　]の攻撃者が、[　b　].cgiに対しSQLインジェクションによって全会員分に当たる約8,000件の会員ID及びパスワードを窃取していた。」とあります。
2. どの CGI が大量の会員 ID とパスワードを引き出せるほどの SQL を実行されたかを、表1 の HTTP アクセスログから特定します。
3. 会員情報を取得する SQL インジェクションが実行されている行を抜粋すると、
   • 「7　ipC　GET　search.cgi　item=gf34' and select cust_id, pwd, null, null from m_user where '1' = '1'&kind=09」
   • 「21　ipH　GET　search.cgi　item=gf12' union select cust_id, pwd, null, null from m_user where '1' = '1'&kind=09」
     と記録されています。どちらも search.cgi に対して cust_id, pwd を取得する攻撃 SQL が送られています。
4. 表1 には、他の CGI（login.cgi, confirm.cgi など）もありますが、cust_id, pwd を直接抽出するクエリは search.cgi にのみ出現します。
5. よって、攻撃1 で標的となった CGI プログラム名 [　b　] は「search」であると導けます。

誤りやすいポイント

• login.cgi は不正ログイン（攻撃4）の痕跡が目立つため、誤って選択しやすいです。しかし SQL インジェクションで cust_id, pwd を抜き出す記録はありません。
• confirm.cgi の「../ls」や <script> を含むリクエストに目を奪われてしまい、SQL インジェクション対象を取り違えるケースがあります。
• program 名には拡張子 .cgi を含めず 7 文字以内で解答する指定を見落とし、「search.cgi」と書いて失点することがあります。

FAQ

模範解答

解説

解答の論理構成

• 【問題文】の表1には、同一クライアント “ipB” から login.cgi へ繰り返しアクセスしている行が複数存在します。
  例：
  ・「番号“2” IP“ipB” cid=cust51 pw=password」
  ・「番号“4” IP“ipB” cid=cust51 pw=pass」
  ・「番号“5” IP“ipB” cid=cust51 pw=cust51」
  ・「番号“6” IP“ipB” cid=cust51 pw=」
  ・「番号“8” IP“ipB” cid=cust51 pw=15tsuc」
  ・「番号“9” IP“ipB” cid=cust51 pw=a」
  ・「番号“10” IP“ipB” cid=cust51 pw=b」
  ・「番号“11” IP“ipB” cid=cust51 pw=c」
  ・「番号“13” IP“ipB” cid=cust51 pw=d」
• いずれも cid が「cust51」で固定されている一方、pw の値だけが次々と変化しています。
• このように「同一 IP から、特定の会員 ID に対して異なるパスワードを大量に試す」行為は、パスワード総当たりを狙った不正ログイン試行（ブルートフォース攻撃）の代表的特徴です。
• 対策としては、連続して認証に失敗した ID に対し、一定時間ログインを禁止（アカウントロック）する設定を導入すれば、無制限な試行を封じられます。

誤りやすいポイント

• 「IP が同じなら全部攻撃」と短絡し、cid の変化を見落としてしまう。実際には cid が固定で pw だけが変わるところが本質です。
• 「パスワード入力欄が空（番号“6”）」を見て SQL インジェクションと勘違いするケース。ここではインジェクションではなく総当たりの一手段です。
• 対策を“CAPTCHA を表示する” などと書いてしまい、直接的にパスワード試行回数を抑止できない点を指摘され減点となりがちです。

FAQ

模範解答

解説

解答の論理構成

1. [　d　]
   • 引用: 「まず、[　d　]式暗号でdrowssapに変換」
   • “password”→“drowssap”は文字列を逆順に並べ替える操作であり、暗号学では並べ替えを行う方式を「転置式暗号」と呼びます。
   • 解答: コ「転置」
2. [　e　]
   • 引用: 「次に、[　e　]式暗号でespxttbqに変換」
   • “drowssap”→“espxttbq”は各文字を別の文字に置き換える方式で、これは「換字式暗号」です。
   • 解答: エ「換字」
3. [　f　]
   • 引用: 「自作アルゴリズムは、[　f　]について公的な機関の評価を受けていない」
   • 公的機関が評価するのはアルゴリズムの“安全性”であり、司法・市場性ではありません。
   • 解答: ウ「安全性」
4. [　g　]
   • 引用: 「攻撃者の指定したパスワードとそれに対する暗号文から解読する[　g　]攻撃」
   • 攻撃者が自分で平文を選び、対応する暗号文を取得して解析する手法は「選択平文攻撃」です。
   • 解答: ク「選択平文」

誤りやすいポイント

• 「転置」と「換字」を逆に覚えていると[d]と[e]を取り違える。並べ替え＝転置、置き換え＝換字と整理しましょう。
• [g]で「辞書」攻撃と誤答しがちですが、問題文には“攻撃者が何度も会員登録した上で”とあり、自分で平文入力を選択できる点が決め手です。
• [f]は「市場性」を連想してしまうことがありますが、CRYPTRECが評価する対象は暗号アルゴリズムの安全性です。

FAQ

模範解答

解説

解答の論理構成

1. 【問題文】には「攻撃者が何度も会員登録した上で、攻撃者の指定したパスワードとそれに対する暗号文から解読する[　g　]攻撃によって会員のパスワードを解読された可能性が高い」とあります。
2. さらに下線②で「初期化する前のパスワードが解読されている可能性が高いことも通知してください」と明示しています。
3. もし利用者が同じ文字列を別サイトでも用いていれば、攻撃者は流出した情報を使って他サービスへ不正ログインを試みることが可能です（いわゆるパスワード再利用問題）。
4. 従って、通知の狙いは「他サービスで同じ認証情報を使っている利用者に、速やかな変更を促すこと」であり、受験生はここを理由としてまとめる必要があります。

誤りやすいポイント

• 「社内システムだけの被害」と短絡し、他サービスへの波及リスクを書き忘れる。
• 「初期化後に旧パスワードで再設定できない」という対策の説明に終始し、通知の本来目的に触れない。
• 「解析された可能性が低い」と誤認し、通知が不要と判断してしまう。

FAQ

模範解答

解説

解答の論理構成

1. 本文には
   「ブラウザが誘導先ページのコンテンツと一緒に、不正な動作を引き起こすファイルをダウンロードします。それから、そのファイルが、ブラウザの[　c　]で処理される過程で、ブラウザの[　c　]の脆弱性を突くコードを実行することで、PCが感染し…」
   とあります。
2. さらに注記として「会員のPCのOS及びブラウザ本体への攻撃は実施されなかった」と明示されています。
3. ブラウザ本体ではなく追加機能部分の脆弱性を突く典型例は Flash、Java、PDF ビューアなどの「プラグイン」です。
4. したがって [　c　] に入る語は「プラグイン」が最も適切です。

誤りやすいポイント

• 「ブラウザ本体への攻撃は実施されなかった」という一文を読み落とし、ブラウザ や 拡張機能 などと書いてしまう。
• 「アドオン」「拡張子」など似た語を選んでしまい、試験では不可となる。
• SQLインジェクションの文脈に意識が向き過ぎて、後半のマルウェア感染フローを軽視しがち。

FAQ

模範解答

解説

解答の論理構成

1. 攻撃3の本質は、表示用データに JavaScript を挿入して閲覧者側ブラウザで実行させることです。
   【問題文】の表1「22番」のクエリ文字列
   item=0b24';update m_contents set ban_url = ban_url || '><script type="text/javascript">document.write("<html>（省略）</html>");</script>
   は、update m_contents set ban_url = ... により ban_url 列へ <script> タグを追記しています。
2. <script type="text/javascript">document.write("…");</script> によって、攻撃者が用意した HTML を「画面の一部」であるバナー領域に動的生成させます。これは会員が閲覧した際にブラウザ上で実行されるので、攻撃対象の PC ではサーバ側ではなくクライアント側で改ざんページが表示されます。
3. S氏の説明にある「①攻撃1とは異なる手口で会員IDとパスワードの詐取」という文言から、攻撃1（サーバ側のデータ直接窃取）とは違い、ユーザ入力を騙し取るクライアントサイド攻撃であると判断できます。
4. JavaScript により「偽の入力画面（ログインフォームなど）」を生成し、action 属性や Ajax 送信先を攻撃者サイトへ設定すれば、会員が入力した cust_id と pwd がそのまま外部へ送信されます。
5. 以上より、設問の答えは「偽の入力画面を表示し、入力内容を攻撃者サイトへ送信する」と整理できます。

誤りやすいポイント

• 「攻撃3＝SQLインジェクションだからサーバ側での直接窃取」と早合点しがちですが、実際には XSS を引き起こしてユーザを“釣る”方式です。
• ログ 22 番の document.write() を単なる defacement と誤読し、詐取手段を記述しないケースがあります。
• 「入力フォームをメール送信」等と書くと、ブラウザから攻撃者サーバへ直接 POST させる本来の流れを外してしまいます。

FAQ