HOME
GIAC Web Application Penetration Tester GWAPT

「GIAC Web Application Penetration Tester GWAPT」の記事一覧

SQLインジェクションのテストにおいて、入力値が数値として扱われるか文字列として扱われるかを確認するために使用される記号はどれか。

シングルクォート `'` を入力してデータベースエラーが発生する場合、入力値がSQL文の中で文字列リテラル…

2026年3月10日

SQLインジェクションの脆弱性検知と悪用（データのダンプ等）を自動化するための代表的なオープンソースツールはどれか。

SQLMapは強力な検出エンジンを持ち、多様なデータベースに対するSQLインジェクション攻撃を自動化し、デー…

2026年3月10日

Webアプリケーション経由でサーバーのOSコマンドを不正に実行させる攻撃において、複数のコマンドを連結するために使われる文字はどれか。

Unix/Linux系OSにおいてセミコロン `;` はコマンドの区切り文字であり、これを利用して正当なコマンドの後…

2026年3月10日

複数のSELECT文の結果を結合して一つの結果セットとして取得するために使用されるSQL演算子はどれか。

UNION演算子を使用したSQLインジェクションでは、攻撃者が任意のテーブルからデータを抽出し、元のクエリ…

2026年3月10日

データベースからのエラーメッセージが表示されない環境で、真偽値を返すクエリの応答の違いを利用してデータを推測する手法はどれか。

Boolean-based Blind SQLiは、SQL文の結果がTRUEかFALSEかによってページの内容が変化することを利用し、1…

2026年3月10日

データベースの応答時間の遅延を利用して、クエリの結果を推測するSQLインジェクションの手法はどれか。

Time-based Blind SQLiは、`SLEEP()`や`WAITFOR DELAY`などの関数を注入し、レスポンスが返るまでの時間を…

2026年3月10日

SQLインジェクションを防ぐための最も効果的かつ推奨される対策はどれか。

プリペアドステートメント（静的プレースホルダ）を使用すると、SQL文の構造とデータが分離されるため、入…

2026年3月10日

XSS脆弱性を利用してブラウザをフックし、高度な攻撃を行うためのペネトレーションテストツールはどれか。

BeEF（The Browser Exploitation Framework）は、XSSホールを通じてWebブラウザを制御下に置き、内部ネッ…

2026年3月10日

入力フォームに `’ OR ‘1’=’1` を入力することで、本来アクセスできないデータを表示させたり認証を回避したりする攻撃はどれか。

SQLインジェクションは、アプリケーションが想定しないSQL文をデータベースに実行させ、不正な操作を行う…

2026年3月10日

CSRF対策としてCookieに設定できる属性で、クロスサイトのリクエスト時にCookieを送信しないように制限するものはどれか。

SameSite属性（StrictまたはLax）を設定すると、他サイトからのリンクやリクエストに対してCookieが送信さ…

2026年3月10日