システム監査技術者 2024年午前2 問18

問題文

オープンリダイレクトを悪用した攻撃に該当するものはどれか。

🖊️ 解答を隠して解いてみる

ア：HTMLメールのリンクを悪用し、HTMLメールに、正規のWebサイトとは異なる偽のWebサイトのURLをリンク先に指定することによって、リンクをクリックした利用者を偽のWebサイトに誘導する。

イ：WebサイトにアクセスするとURL中のパラメータで指定された他のWebサイトに遷移する機能を悪用し、利用者を偽のWebサイトに誘導する。（正解）

ウ：インターネット上の不特定多数のホストからDNSリクエストを受け付けて応答するDNSキャッシュサーバを悪用し、Webサーバに大量のDNSのレスポンスを送り付け、リソースを枯渇させる。

エ：設定の不備によって、正規の利用者以外からの電子メールやWebサイトへのアクセス要求を受け付けるプロキシを悪用し、送信元を偽った迷惑メールの送信を行う。

🔒 解説は解答すると表示されます

オープンリダイレクトとは、WebサイトがURLのパラメータなどで指定された遷移先へ、十分な確認をせずに利用者を転送してしまう機能や設定のことです。

この機能を悪用すると、正規のWebサイトのURLを入口にしながら、利用者を偽のWebサイトへ誘導できます。設問のケースに該当するのは、遷移先を指定するパラメータを悪用して偽サイトへ誘導するイです。

ア：HTMLメールに偽サイトのURLを直接記載して誘導する手口です。メールのリンクを使ったフィッシングですが、正規サイトのリダイレクト機能を悪用しているわけではありません。
イ：正規サイトのリダイレクト機能を悪用し、パラメータで指定した偽サイトへ利用者を転送します。オープンリダイレクト攻撃に該当します。
ウ：不特定多数からのDNS問い合わせに応答するサーバを悪用し、攻撃対象に大量の応答を送る手口です。DNSリフレクション攻撃やDNSアンプ攻撃に関係します。
エ：外部から自由に利用できるよう設定されたプロキシを悪用し、迷惑メールを送信する手口です。オープンプロキシの悪用であり、オープンリダイレクトとは異なります。

偽サイトへ誘導する攻撃なら、すべてオープンリダイレクトだと思う
偽サイトへの誘導だけでは判断できません。正規サイトのリダイレクト機能を悪用しているかがポイントです。
正規サイトのURLが使われていれば安全だと思う
正規サイトのURLであっても、転送先が自由に指定できる場合は、偽サイトへの誘導に悪用される可能性があります。
オープンリダイレクトとオープンプロキシを混同する
リダイレクトはWebブラウザの遷移先を変更する仕組みです。プロキシは、利用者に代わって通信を中継する仕組みです。

オープンリダイレクトは、URLのドメインが正規サイトのものに見えるため、利用者がリンクを信用しやすくなる点が問題です。対策としては、遷移先をあらかじめ許可したドメインに限定する、遷移先を固定する、外部サイトへ移動する際に確認画面を表示する方法などがあります。

Q. オープンリダイレクトは、Webサイトのリダイレクト機能そのものが危険なのですか？
A. リダイレクト機能自体が危険なのではありません。利用者が指定できる遷移先を十分に検証せず、任意の外部サイトへ転送できてしまうことが問題です。

Q. フィッシング攻撃との違いは何ですか？
A. フィッシングは、偽サイトに誘導して情報を盗むなどの攻撃全般を指します。オープンリダイレクトは、その誘導に悪用される手段の一つです。

関連キーワード: オープンリダイレクト、リダイレクト、フィッシング、DNSリフレクション攻撃、オープンプロキシ

\ せっかくなら /

システム監査技術者を
クイズ形式で学習しませんか？

すぐに利用可能！