【線路主任技術者】過去問準拠 予想演習 問053 解説｜思考ルート
Webアプリケーションにおけるディレクトリトラバーサル脆弱性と、その攻撃メカニズムおよび背景に関する記述として、最も不適切なものはどれか。
※本問は、過去の出題傾向・頻出論点をAI分析して作成した「過去問準拠の予想演習問題」です。
予想演習 No.053
Webアプリケーションにおけるディレクトリトラバーサル脆弱性と、その攻撃メカニズムおよび背景に関する記述として、最も不適切なものはどれか。
選択肢
ディレクトリトラバーサルは、利用者が入力するファイル名などのパラメータに対して適切な入力値検証（バリデーション）が欠如している場合に生じる脆弱性である。
攻撃者は、相対パスを示す文字列であるドットドットスラッシュなどを悪用し、Webアプリケーションの公開ドキュメントルート外にある機密ファイルに不正アクセスを試みる。
この脆弱性を突いた不正アクセスを防ぐためには、ファイルパスを直接パラメータで指定させず、管理された識別子やインデックス番号で間接的に指定する設計が有効である。
ディレクトリトラバーサルの根本的な対策としては、HTML出力時の特殊文字を別の文字列に置換するエスケープ処理を徹底することが最も直接的で効果的である。
正解と解説（思考ルート）
【正解】 選択肢 4
■【設問の意図と背景】
Web脆弱性のメカニズムと適切な防御策の対応関係を問う。対策の混同を誘う代表的なひっかけを見抜く力を試す。
■【正解の根拠とメカニズム】
HTML出力時の特殊文字の置換（エスケープ処理）は、Webページ閲覧者のブラウザ上で不正なスクリプトが実行される「クロスサイトスクリプティング（XSS）」に対する防御策である。一方、ディレクトリトラバーサルはファイルシステムへの不正アクセスに関する脆弱性であり、対策としてはパラメータでの直接指定禁止やアクセス権限の適切な設定が求められる。したがって選択肢4の記述は誤り。
■【各選択肢の徹底検証】
・選択肢1：入力値検証の欠如が原因であり正しい。
・選択肢2：相対パスを悪用して外部ファイルにアクセスする仕組みであり正しい。
・選択肢3：識別子による間接指定は有効な設計であり正しい。
・選択肢4：エスケープ処理はXSS対策でありディレクトリトラバーサルの対策ではないため誤り（これが正解）。
■【本番での即断ポイント】
「エスケープ処理＝クロスサイトスクリプティング対策」であり、ファイルアクセス制御とは別物であることを見抜く。
スマホで全100問をランダム演習・弱点管理しませんか？
「思考ルート」のWeb演習アプリなら、線路主任技術者をはじめとする難関資格の過去問準拠・予想演習を、スマホやPCで100問まで完全無料でお試し演習できます。