令和5年春期試験　午後Ⅱ試験【問1】についての投稿を受け付けるスレッドです。

前半30分間取り掛かったけど、解けなかったので問2に鞍替えしました。。。

自身あったのでこっちにしたけどVツールの仕様が不明瞭な部分があって解答に迷う部分が多くありました
特に初期値は何個設定できるのかとか、診断機能は何が診断項目に含まれるのかとか、その辺の解釈次第で解答複数あり得るのではと思ってしまった。

15分くらいかけたけどわからなかったので、問2にしたけど、どちらも鬼門。

問1解いてる人少ないな……

開始10分程 問1, 2 見比べて、個人的にはこちら（問1）がいけそうだったので選択しました。
6割は取れてるかな？（と信じたい。。。）
参考程度に、自分の回答載せておきます。

----------------------------------------------------------
■設問１
  当該画面の開発者へ確認し、URLを洗い出す
■設問２
  (1) a イ
      b ウ
  (2) c (2-3)
  (3) アンケート入力1のURLに対し、
      アンケート確認のURLの応答も判定対象に含める様に登録
  (4) 特殊文字を使わず、トピック検索結果件数が1件以上得られる入力値
■設問３
  (1) ウ, エ
  (2) ① 画面：(A)
         理由：ログイン時のパスワードを連続5回間違えると
               アカウントロックされる為
      ② 画面：(C)
         理由：一つのキャンペーンに対し一人の会員は
               1回だけ申込み可能である為
■設問４
  (1) d JavaScriptによるcookieの読み込み
  (2) セッションハイジャックによりJSESSIONIDを盗む
      ※  自信なし
■設問５
  (1) form内のgroup_codeを削除する
      ※  自信なし
  (2) e JSESSIONID
      f group_code
■設問６
  (1) 診断開始までには診断対象URL、アカウント等
      必要な情報を一元管理しておく
  (2) 各グループ会社からの問合せをセキュリティ推進部で集約化・管理し
      新規事案についてはB社へ問合わせする
----------------------------------------------------------

得点できてるか分かりませんが、、、ご参考までに

一応置いておきます。
設問2の(3)、(4)はryuさんのが正解な気がする。。。

【設問1】
ソースコードや仕様書を確認し、存在するURL一覧を洗い出す。

【設問2】
(1) a. イ b.ウ
(2) (4-1)
(3) アンケート入力1の画面の初期パラメータをXSS攻撃用の文字列を含む文字列に修正し、登録する。
(4) そのkeywordで検索したら検索結果が1件以上表示される値。

【設問3】
(1) エ
(2) 
A. パスワードを5回以上間違えるとアカウントがロックされるため。
C. 1つのキャンペーンに対して会員Nは1度しか申し込みができないため。

【設問4】
(1) ブラウザ上で実行されるjavascriptからの読み込み
(2) 画面に表示される機密情報や個人情報を攻撃者サーバに送信する。

【設問5】
(1) リクエストURIパラメータにgroup_codeを送信しない
(2) e. JSESSIONID f. groupe_code

【設問6】
(1) 資産管理システム等を活用しIT資産の管理、運用を行う。
(2) 問い合わせ事項を集約するチームを作り、重複する問い合わせ等をまとめた上でB社へ問い合わせる。

＜設問１＞自動登録機能で生成されたURLと比較する
＜設問２＞
（１）オエ
（２）４－１
（３）アンケート２、アンケート確認のパラメータにスクリプト文字列を設定する
（４）検索結果が０件にならないパラメータを初期値とする設定
＜設問３＞
（１）エ
（２）
  （A）アカウントがロックされるから
  （C）一度申し込んだキャンペーンは申し込みできないから
＜設問４＞
（１）別サイトへのCokkie送信
（２）画面で表示している情報を外部に送信するスクリプトをパラメータに指定する
＜設問５＞
（１）リクエストパラメータからgroup_codeを削除したリクエスト
（２）Cookie、group_code

6割行きたいンゴね。。

＜設問６＞
（１）診断URLのようにあらかじめ用意できる診断情報を管理する。
（２）問い合わせと回答内容を記録し、QAとして活用する。

■設問２ (4)
xyzでは構文エラーとなってしまい、manualでは問題なかったとのことなので、
アプリケーション側でそもそもxyzを受け付けなかったのかと思いました。
なので、
・初期値はプログラム内で正常に判定される値にするという条件
かと思いました。

お疲れ様でした。
設問2の(1)をミスしたのがデカい気がする・・・
あと、httponlyもヘンテコな回答になった

■設問１
  サイトの公開元サーバに接続しファイルシステムを確認する

■設問２
  (1) a.オ
      b.エ
      (※a,b共に自身無し、'付けないとSQLインジェクションにならんな・・・、多分a.イ、b.ウ)
  (2) c (2-3)
  (3) アンケート入力1の入力に対して、
      アンケート確認の応答が判定対象となるように登録設定
  (4) 検索結果が0件でなく、かつ特殊文字を含まない文字列

■設問３
  (1) ウ, エ
  (2) ① 画面：(A)
         理由：パスワードを連続5回間違えると
               アカウントロックされるため
      ② 画面：(C)
         理由：キャンペーンに対して
               会員は1回だけ申込可能なため

■設問４
  (1) d httpスキーム以外のcookieのスクリプト読み出し
    (※自身無し。これだとhttpは可みたいに読める。シンプルにJS読み出し禁止でよかった)
  (2) 画面から会員情報やメールアドレスを盗む(※自身無し)

■設問５
  (1) group_codeをリクエストパラメータから削除する
  (2) e.JSESSIONID f.group_code

■設問６
  (1) 費用や診断に必要な情報を一元管理する(※自身無し)
  (2) 事例を集約し、問合せの際は事例とセキュリティ推進部に確認する運用とする

＜設問２＞について、そもそもandの前にスペースがなさそうですし、私たちアウトっぽいですね笑。そうするとなぜ'がいるかはよくわからないですが「いう」あたりが正解っぽいですね泣

お疲れ様でした。
設問2の(1)がすごくモヤモヤします。
SQLインジェクションについてなので’付きのイウとも思いましたが、manual’が0件ならイも0件になるだろうと思いました。。
結局エオにしましたが、これだとSQLインジェクション関係ないやんと思ってます。

どなたか解説いただけないでしょうか。

この投稿は投稿者により削除されました。(2023.04.16 22:16)

設問4(2)
偽のページを表示して利用者を騙し個人情報を入力させる

とか書いた気がするけど微妙かな

この投稿は投稿者により削除されました。(2023.04.16 22:28)

>ポムポムぷりんさん

設問2の(1)について、
自分は間違えてますが、以下を軸に改めて考えてみました。

・パラメータを元にサーバサイドでSQL文(→SELECT '文字列')が組み立てられる、と考える

・「B社、Zさん」は「脆弱性診断」をしている
  →通常のパラメータは脆弱性診断にならない、
    SQLインジェクションとなるSQLを整形する文字列を選ぶ必要あり？

と考えるとやはりイ、ウなのかな・・と
（実際にスレッドにSQL文で表現しようとしましたが、本掲示板的に禁忌文字があるようで書き込めませんでした）

javascriptからのCookieの読み出し
利用者を攻撃者の用意した偽サイトに誘導し、会員情報を入力・送信させる手口
リクエストヘッダからgroup_codeを取り除いた。
e=JSESSIONID, f=group-code 
設問６
  (1) 資産管理システムを導入し、IT資産や診断に必要な情報を一元管理する。
  (2) 診断結果の報告内容のうち、開発者が偽陽性としたものを除外してからB社に問い合わせる

50-55くらいで落ちてそう…

flagさんそれで合ってると思いますよ

2（4）は検索して当てはまらないワードは意味がないと言うことですね

設問3(1)はエだけで合ってるでしょうか？
問題文が「すべて選べ」だったのて迷いましたが、イジワルであることを祈ってます。。

過去にもIPAの試験で「すべて選べ」で、解答が1つしかなかったケースが
あったような気がします。
「すべて選べ」がでたら、2以上ではなく、1以上のつもりでいましょう。

この投稿は投稿者により削除されました。(2023.04.19 15:40)

設問3(1) については（エ、ウ）ではないかと考えております。
根拠は以下の通りです。

エ 新規会員情報入力
電子メールでURLを送付する画面までしかツールでクローリング不可
（メールからURLへアクセスするプロセスを踏む必要があるから）

ウ 検索結果画面
検索結果画面はJavascriptで動的に生成されると(図4 注記4)に記載あり、
また(表2 自動登録機能の特徴)に偏移先のページがJavascriptにより動的に生成される場合、登録されない記述あり。

上記に加えてこの画面も怪しい！みたいなのがあればご教示いただけますと幸いです。

【設問2】
(2)（2-3）
(3) アンケート入力 1 に対するアンケート入力 2 の URL の応答の判定に加えて，アン ケート確認の URL の応答も判定対象に含める。 

itecの解答は2-3のようです。最初、私もそう思ったのですが4-1にしました。
よく読むと2-1で「フォーム送信先をたどり、診断URLを自動的に登録...」とあるのですが、なぜ2-3になるのでしょうか？

●【設問2】(2)
こちらの問題ですが、ツールの動作を勘違いされていると思われます。

ツールの動作としては、
・診断対象URLに対して、パラメータへXSS確認用文字列Aをセットしてリクエスト①を送信
・リクエスト①のレスポンスの内容を確認してリクエスト①で送信したXSS確認用文字列Aが含まれていないか確認

・診断対象URLに対して、パラメータへXSS確認用文字列Bをセットしてリクエスト②を送信
リクエスト②のレスポンスの内容を確認してリクエスト②で送信したXSS確認用文字列Bが含まれていないか確認

これの繰り返しになります。
つまり、確認時にはリクエストとレスポンスが１対１の関係です。

そのため、今回のXSSを検出するためには（2-3）の機能を使用して、以下の流れにします。
・診断対象URLに対して、パラメータへXSS確認用文字列をセットしてリクエスト①を送信
・リクエスト①のレスポンスの内容を確認してリクエスト①で送信したXSS確認用文字列が含まれていないか確認
・（2-3）で登録されたURLへリクエスト送信し、レスポンスにリクエスト①で送信したXSS確認用文字列が含まれていないか確認

この追加された動作の部分が、「診断対象のURL応答だけでなく、別のURLの応答も判定対象になる」という部分です。


●（2-1）に関しては、「診断対象URLの登録機能」、「診断機能」と別々の機能が存在していますが、【設問2】(2)は診断機能の動作に関する問です。
（2-1）は診断対象URLの登録機能の説明になっているため、今回の問とは関連がありません。

私も、同じ理由で4－1にしました。
セキュリティの試験というより国語ですよね。
ストレートに解答していいときと深読みするときの匙加減がやっかいです。