情報処理安全確保支援士 2012年 春期 午後1 問02

解答の論理構成

1. 攻撃1の条件を整理
   • 【問題文】には「攻撃1:IPアドレスがaの攻撃者が、b.cgiに対しSQLインジェクションによって全会員分に当たる約8,000件の会員ID及びパスワードを窃取していた。」とあります。
   • したがって、(i) SQLインジェクションで (ii) “会員ID及びパスワード” の両方を取り出すクエリを (iii) 同じIPから実行している行を探します。
2. HTTPアクセスログから該当行を抽出
   • 番号「21」には
     「ipH GET search.cgi item=gf12' union select cust_id, pwd, null, null from m_user where '1' = '1'&kind=09」
     が記録されています。
   • このクエリはunion select cust_id, pwd ... によってm_userテーブルから “cust_id” と “pwd” の両列を取得しており、条件(i)(ii)を満たします。
3. 他の候補行との比較
   • 番号「7」は「ipC」がand select cust_id, pwd, null, null ... を実行していますが、同IP「ipC」は番号「18」で <script> を埋め込むXSSも行っており、攻撃3（「異なる手口」）の流れと符合します。
   • 番号「12」「17」は “pwd” のみ、または “cust_id” のみを取得しているため、会員IDとパスワードを同時に窃取した条件(ii)を満たしません。
   • よって、条件を同時に満たすのはIP「ipH」のみです。
4. 以上から、a に入るIPアドレスは「ipH」と結論付けられます。

誤りやすいポイント

• 「cust_idとpwdの両方」を取得しているかどうかを見落とす
• union selectとand selectの違いを軽視し、テスト的なクエリ（番号7）を攻撃本番と誤認する
• XSSや改ざんのログ（番号18, 22）とSQLインジェクションによる情報窃取を混同する

FAQ

解答の論理構成

1. 【問題文】には「攻撃1:IPアドレスがaの攻撃者が、b.cgiに対しSQLインジェクションによって全会員分に当たる約8,000件の会員ID及びパスワードを窃取していた。」とあります。
2. どのCGIが大量の会員IDとパスワードを引き出せるほどのSQLを実行されたかを、表1のHTTPアクセスログから特定します。
3. 会員情報を取得するSQLインジェクションが実行されている行を抜粋すると、
   • 「7　ipC　GET　search.cgi　item=gf34' and select cust_id, pwd, null, null from m_user where '1' = '1'&kind=09」
   • 「21　ipH　GET　search.cgi　item=gf12' union select cust_id, pwd, null, null from m_user where '1' = '1'&kind=09」
     と記録されています。どちらもsearch.cgiに対してcust_id, pwdを取得する攻撃SQLが送られています。
4. 表1には、他のCGI（login.cgi, confirm.cgiなど）もありますが、cust_id, pwdを直接抽出するクエリはsearch.cgiにのみ出現します。
5. よって、攻撃1で標的となったCGIプログラム名 b は「search」であると導けます。

誤りやすいポイント

• login.cgiは不正ログイン（攻撃4）の痕跡が目立つため、誤って選択しやすいです。しかしSQLインジェクションでcust_id, pwdを抜き出す記録はありません。
• confirm.cgiの「../ls」や <script> を含むリクエストに目を奪われてしまい、SQLインジェクション対象を取り違えるケースがあります。
• program名には拡張子 .cgiを含めず7文字以内で解答する指定を見落とし、「search.cgi」と書いて失点することがあります。

FAQ

解答の論理構成

• 【問題文】の表1には、同一クライアント “ipB” からlogin.cgiへ繰り返しアクセスしている行が複数存在します。
  例：
  ・「番号“2” IP“ipB” cid=cust51 pw=password」
  ・「番号“4” IP“ipB” cid=cust51 pw=pass」
  ・「番号“5” IP“ipB” cid=cust51 pw=cust51」
  ・「番号“6” IP“ipB” cid=cust51 pw=」
  ・「番号“8” IP“ipB” cid=cust51 pw=15tsuc」
  ・「番号“9” IP“ipB” cid=cust51 pw=a」
  ・「番号“10” IP“ipB” cid=cust51 pw=b」
  ・「番号“11” IP“ipB” cid=cust51 pw=c」
  ・「番号“13” IP“ipB” cid=cust51 pw=d」
• いずれもcidが「cust51」で固定されている一方、pwの値だけが次々と変化しています。
• このように「同一IPから、特定の会員IDに対して異なるパスワードを大量に試す」行為は、パスワード総当たりを狙った不正ログイン試行（ブルートフォース攻撃）の代表的特徴です。
• 対策としては、連続して認証に失敗したIDに対し、一定時間ログインを禁止（アカウントロック）する設定を導入すれば、無制限な試行を封じられます。

誤りやすいポイント

• 「IPが同じなら全部攻撃」と短絡し、cidの変化を見落としてしまう。実際にはcidが固定でpwだけが変わるところが本質です。
• 「パスワード入力欄が空（番号“6”）」を見てSQLインジェクションと勘違いするケース。ここではインジェクションではなく総当たりの一手段です。
• 対策を“CAPTCHAを表示する” などと書いてしまい、直接的にパスワード試行回数を抑止できない点を指摘され減点となりがちです。

FAQ

解答の論理構成

1. d
   • 引用: 「まず、d式暗号でdrowssapに変換」
   • “password”→“drowssap”は文字列を逆順に並べ替える操作であり、暗号学では並べ替えを行う方式を「転置式暗号」と呼びます。
   • 解答: コ「転置」
2. e
   • 引用: 「次に、e式暗号でespxttbqに変換」
   • “drowssap”→“espxttbq”は各文字を別の文字に置き換える方式で、これは「換字式暗号」です。
   • 解答: エ「換字」
3. f
   • 引用: 「自作アルゴリズムは、fについて公的な機関の評価を受けていない」
   • 公的機関が評価するのはアルゴリズムの“安全性”であり、司法・市場性ではありません。
   • 解答: ウ「安全性」
4. g
   • 引用: 「攻撃者の指定したパスワードとそれに対する暗号文から解読するg攻撃」
   • 攻撃者が自分で平文を選び、対応する暗号文を取得して解析する手法は「選択平文攻撃」です。
   • 解答: ク「選択平文」

誤りやすいポイント

• 「転置」と「換字」を逆に覚えているとdとeを取り違える。並べ替え＝転置、置き換え＝換字と整理しましょう。
• gで「辞書」攻撃と誤答しがちですが、問題文には“攻撃者が何度も会員登録した上で”とあり、自分で平文入力を選択できる点が決め手です。
• fは「市場性」を連想してしまうことがありますが、CRYPTRECが評価する対象は暗号アルゴリズムの安全性です。

FAQ

解答の導き方

1. 本文の記述「初期化する前のパスワードが解読されている可能性が高いことも通知してください」は、攻撃者が元のパスワード（平文）を得る、あるいは得られる態勢にある可能性を示しています。
2. 攻撃者が平文パスワードを入手できると、そのパスワードを用いて他のサービスで不正ログインを試みることが可能になります。実務上、多くの利用者が複数サイトで同じ会員ID及びパスワードを使い回しているため、このリスクは重大です。
3. サイト内で「初期化する前のパスワードへの変更を禁止」する措置は、当該サイトで利用者が再び危険な（既知の）パスワードを設定することを防ぎますが、他サイトでの利用状況には影響を与えません。したがって利用者に対して、他サイトで同じ認証情報を使っている場合はそれらのパスワードを変更するよう促す必要があります。
4. 以上より、通知すべき主目的は「他のサイトで同じ会員ID・パスワードを使用している会員に対し、それらのパスワードを変更するよう促すこと」であると導けます。

誤りやすいポイント

• 「通知はサイトの再開理由の説明だけで良い」と考え、他サイトでのリスクを伝えない点。サイト内対策だけでは不十分です。
• 「解読＝辞書攻撃や総当たり攻撃」と早合点すること。本文が示すのは、選択した平文とその暗号文の対応を利用する手法（選択平文攻撃）です。
• 「通知でウイルス対策ソフトの導入や細かい技術説明だけ伝えればよい」とし、具体的な行動（他サイトでのパスワード変更）を促さない点。
• 「初期化前のパスワードが漏れていない前提」でユーザーに旧パスワードの再利用を許す運用にする点。

FAQ

解答の論理構成

1. 本文には
   「ブラウザが誘導先ページのコンテンツと一緒に、不正な動作を引き起こすファイルをダウンロードします。それから、そのファイルが、ブラウザのcで処理される過程で、ブラウザのcの脆弱性を突くコードを実行することで、PCが感染し…」
   とあります。
2. さらに注記として「会員のPCのOS及びブラウザ本体への攻撃は実施されなかった」と明示されています。
3. ブラウザ本体ではなく追加機能部分の脆弱性を突く典型例はFlash、Java、PDFビューアなどの「プラグイン」です。
4. したがって c に入る語は「プラグイン」が最も適切です。

誤りやすいポイント

• 「ブラウザ本体への攻撃は実施されなかった」という一文を読み落とし、ブラウザ や 拡張機能 などと書いてしまう。
• 「アドオン」「拡張子」など似た語を選んでしまい、試験では不可となる。
• SQLインジェクションの文脈に意識が向き過ぎて、後半のマルウェア感染フローを軽視しがち。

FAQ

解答の論理構成

1. 攻撃3の本質は、表示用データにJavaScriptを挿入して閲覧者側ブラウザで実行させることです。
   【問題文】の表1「22番」のクエリ文字列
   item=0b24';update m_contents set ban_url = ban_url || '><script type="text/javascript">document.write("<html>（省略）</html>");</script>
   は、update m_contents set ban_url = ... によりban_url列へ <script> タグを追記しています。
2. <script type="text/javascript">document.write("…");</script> によって、攻撃者が用意したHTMLを「画面の一部」であるバナー領域に動的生成させます。これは会員が閲覧した際にブラウザ上で実行されるので、攻撃対象のPCではサーバ側ではなくクライアント側で改ざんページが表示されます。
3. S氏の説明にある「①攻撃1とは異なる手口で会員IDとパスワードの詐取」という文言から、攻撃1（サーバ側のデータ直接窃取）とは違い、ユーザ入力を騙し取るクライアントサイド攻撃であると判断できます。
4. JavaScriptにより「偽の入力画面（ログインフォームなど）」を生成し、action属性やAjax送信先を攻撃者サイトへ設定すれば、会員が入力したcust_idとpwdがそのまま外部へ送信されます。
5. 以上より、設問の答えは「偽の入力画面を表示し、入力内容を攻撃者サイトへ送信する」と整理できます。

誤りやすいポイント

• 「攻撃3＝SQLインジェクションだからサーバ側での直接窃取」と早合点しがちですが、実際にはXSSを引き起こしてユーザを“釣る”方式です。
• ログ22番のdocument.write() を単なるdefacementと誤読し、詐取手段を記述しないケースがあります。
• 「入力フォームをメール送信」等と書くと、ブラウザから攻撃者サーバへ直接POSTさせる本来の流れを外してしまいます。

FAQ