HOME
GIAC Web Application Penetration Tester GWAPT

「GIAC Web Application Penetration Tester GWAPT」の記事一覧

「知識」「所持」「生体」の3要素のうち、スマートフォンに送信されるSMSコードを使用する認証はどれに分類されるか。

SMSを受信できるスマートフォンを持っていることを確認するため、これは「所持情報」による認証要素に分類…

2026年3月10日

セッションIDを含むCookieに「Path=/admin」属性が設定されている場合、ブラウザがCookieを送信する条件はどれか。

Path属性はCookieが送信されるURLパスの範囲を制限するもので、この場合は/adminおよびそのサブディレクト…

2026年3月10日

攻撃者が被害者にあらかじめ取得した有効なセッションIDを強制的に使用させ、ログイン後にそのセッションを乗っ取る攻撃はどれか。

Session Fixation（セッション固定攻撃）は、被害者のブラウザに攻撃者が用意したセッションIDをセットし…

2026年3月10日

ログイン画面のエラーメッセージが「ユーザー名が存在しません」と「パスワードが違います」で異なる場合、攻撃者が利用できる情報はどれか。

エラーメッセージの差異を利用することで、攻撃者は登録されている有効なユーザー名を特定（列挙）するこ…

2026年3月10日

ハッシュ化されたパスワードの解析を困難にするために、ハッシュ化前に追加されるランダムなデータはどれか。

ソルトはパスワードごとに異なるランダムな値を追加してハッシュ化することで、レインボーテーブル攻撃な…

2026年3月10日

ユーザーがログインした後にサーバーが発行し、以降の通信でユーザーを識別するために使用される一意の識別子はどれか。

セッションIDは、ステートレスなHTTP通信においてユーザーのログイン状態（セッション）を維持するために…

2026年3月10日

URLに含まれるID番号（例: user_id=123）を操作して、本来アクセス権限のない他人のデータにアクセスする脆弱性はどれか。

IDOR（Insecure Direct Object References）は、オブジェクトへの直接参照に対するアクセス制御が不十分な…

2026年3月10日

過去のWebサイトの状態を確認するために利用できる、インターネット上のデジタルアーカイブサービスはどれか。

Internet ArchiveのWayback Machineは、過去に収集されたWebページのコピーを閲覧できるサービスで、変更…

2026年3月10日

ログインフォームに対して、あらかじめ用意したユーザー名とパスワードのリストを順次試行して侵入を試みる攻撃はどれか。

辞書攻撃は、一般的または想定される単語リストを使用して認証を突破しようとする総当たり攻撃の一種であ…

2026年3月10日

公開されているドキュメント（PDF, DOCX等）から、作成者名やソフトウェアバージョンなどの隠れた情報を抽出するツールはどれか。

FOCAはドキュメントファイルのメタデータを解析し、内部情報やネットワーク構成情報を抽出するためのツー…

2026年3月10日