HOME
GIAC Web Application Penetration Tester GWAPT

「GIAC Web Application Penetration Tester GWAPT」の記事一覧

信頼されたWebサイトのURLパラメータを操作し、ユーザーをフィッシングサイトなどの悪意あるサイトへ転送させる脆弱性はどれか。

オープンリダイレクトは、リダイレクト先のURL検証が不十分な場合に発生し、フィッシング詐欺の踏み台とし…

2026年3月10日

APIに対して大量のリクエストを短時間に送信し、サービスを妨害したり、総当たり攻撃を行ったりするのを防ぐ対策はどれか。

レートリミットは、一定時間あたりのリクエスト数を制限することで、DoS攻撃やブルートフォース攻撃の影響…

2026年3月10日

HTTPハンドシェイクを経て確立され、クライアントとサーバー間で全二重通信を可能にするプロトコルはどれか。

WebSocketプロトコルは、単一のTCP接続上で双方向のリアルタイム通信を実現する技術である。

2026年3月10日

異なるドメイン間でのリソース共有を制御するCORSにおいて、すべてのドメインからのアクセスを許可する危険な設定値はどれか。

ワイルドカード `*` を指定すると、任意のサイトからリソースへのアクセスが可能になり、情報漏洩のリスク…

2026年3月10日

従来の `XMLHttpRequest` に代わり、より強力で柔軟な機能を提供する、PromiseベースのモダンなJavaScript APIはどれか。

Fetch APIは、ネットワークリクエストを行うための最新の標準APIであり、非同期通信をより簡潔に記述でき…

2026年3月10日

GraphQLにおいて、サーバーがサポートしているクエリや型（スキーマ）の情報をクライアントが取得できる機能を何と呼ぶか。

Introspection（イントロスペクション）機能が有効な場合、攻撃者はスキーマ情報を取得し、APIの構造や脆…

2026年3月10日

RESTful APIにおいて、JSON形式のデータを送受信する際に一般的に使用される `Content-Type` ヘッダーの値はどれか。

REST APIではデータの交換フォーマットとしてJSONが広く採用されており、ヘッダーで `application/json` …

2026年3月10日

技術的なエラーはないが、アプリケーションの仕様や業務フローの盲点を突いて不正行為（例：クーポン無限適用）を行う攻撃はどれか。

ビジネスロジックの脆弱性は、自動化ツールでは検知しにくく、アプリケーション固有の仕様を悪用した攻撃…

2026年3月10日

SOAPベースのWebサービスにおいて、利用可能なメソッドやデータ構造を記述したXML形式の定義ファイルはどれか。

WSDL（Web Services Description Language）は、SOAP Webサービスのインターフェースや通信詳細を定義する…

2026年3月10日

PHPの `system()` や `exec()` などの関数に対し、外部からの入力を適切にサニタイズせずに渡すことで発生する脆弱性はどれか。

OSコマンドインジェクションは、アプリケーションの権限で任意のシステムコマンドを実行可能にする重大な…

2026年3月10日