HOME
GIAC Web Application Penetration Tester GWAPT

「GIAC Web Application Penetration Tester GWAPT」の記事一覧

ECサイトにおいて、注文リクエストのパラメータ `quantity` を `-1` に変更し、合計金額を減額またはマイナスにする攻撃はどれか。

負の数を入力するなどの想定外の操作により、ビジネスロジックの計算ミスを誘発し、不正な利益を得る攻撃…

2026年3月10日

JWTのペイロードに含まれる標準クレームのうち、トークンの「有効期限」を示すものはどれか。

`exp` クレームはUNIXタイムスタンプ形式で記述され、この時刻を過ぎたトークンは無効として扱われなけれ…

2026年3月10日

「クレデンシャルスタフィング（Credential Stuffing）」攻撃が成立する主な前提条件は何か。

攻撃者は、他サイトから漏洩したIDとパスワードのリストを使い、パスワードの使い回しをしているユーザー…

2026年3月10日

RBAC（Role-Based Access Control）において、ユーザーへの権限割り当ての仲介役となる概念はどれか。

RBACでは、ユーザーに直接権限を付与するのではなく、「ロール」に権限を割り当て、ユーザーをそのロール…

2026年3月10日

セッションIDの生成において、推測可能性を排除するために最も重要な要素は何か。

十分なエントロピーを持つ暗号論的擬似乱数生成器（CSPRNG）を使用しないと、攻撃者に次のセッションIDを…

2026年3月10日

CSRF対策の「SameSite」Cookie属性において、トップレベルナビゲーション（リンク遷移など）の場合のみCookie送信を許可し、画像読み込みなどのサブクエストでは送信しない設定値はどれか。

SameSite=Laxは、ユーザビリティ（リンク遷移でのログイン維持）とセキュリティ（CSRF防止）のバランスを…

2026年3月10日

SAML 2.0において、IDプロバイダ（IdP）とサービスプロバイダ（SP）の間で交換される認証情報を含むXMLメッセージを何と呼ぶか。

SAMLアサーションには、ユーザーの識別情報、認証時刻、属性情報などが含まれ、SPでのアクセス制御判断に…

2026年3月10日

OAuth 2.0の認可コードグラントフローにおいて、認可コード（Authorization Code）をアクセストークンと交換するために、クライアントがリクエストを送信するエンドポイントはどれか。

クライアントは、取得した認可コードとクライアントシークレットをトークンエンドポイントに提示して、ア…

2026年3月10日

REST APIの設計において、リソースの操作（CRUD）とHTTPメソッドの対応として、一般的に「新規作成」に使用されるメソッドはどれか。

RESTfulな設計では、POSTはリソースの新規作成（Create）、GETは取得（Read）、PUTは更新（Update）、DELE…

2026年3月10日

Kerberos認証において、認証サーバー（AS）からクライアントに発行される、サービスを利用するための初期チケットはどれか。

TGTは、ユーザーが認証済みであることを証明するチケットであり、これを使用して各サービスの利用に必要な…

2026年3月10日