SC情報セキュリティマネジメントの推進又は支援に関すること · 情報セキュリティに関する動向・事例の収集と分析

SEOポイズニング

SEO Poisoning

えすいーおーぽいずにんぐ

検索エンジンの順位付けの仕組みを悪用し、悪意のあるサイトを検索結果の上位に表示させて利用者を誘導する攻撃。時事的なキーワードを狙って行われ、マルウェア配布やフィッシングの入口となる。

共有:

他の資格での定義

検索エンジンの順位付けの仕組みを悪用し、悪意あるサイトを検索結果の上位に表示させる手口。話題の語句で検索した利用者をマルウェア配布サイトへ誘導する。

検索エンジンの順位付けの仕組みを悪用し、悪意あるサイトを検索結果の上位に表示させる攻撃。話題の語句を狙って仕掛けられ、利用者は正規のサイトと思い込んでアクセスしてしまう。

検索エンジンの順位付けの仕組みを悪用し、マルウェア配布サイトや偽サイトを検索結果の上位に表示させる手口。時事的な話題の検索語を狙うことが多く、利用者は検索結果を信用してアクセスするため被害に遭いやすい。

Past Exams

過去問で 4 回出題（基本情報技術者試験 2・応用情報技術者試験 2）。うち 2 回は用語そのものを問う問題です。

出典: 独立行政法人情報処理推進機構（IPA）の過去問題。問題文は IPA のサイトの PDF で確認できます。「用語を問う問題」は、この用語の説明や特徴そのものを問う問題です。「選択肢」は、問題文ではなく選択肢に出たものです。用語名で照合しているため、関係の薄い問題が含まれることがあります。

Webアプリケーションの入力値を通じて不正なSQL文を挿入・実行させる攻撃手法。データの不正取得、改ざん、削除などが可能になる。対策としてプレースホルダ（バインド機構）の使用、入力値の検証、エスケープ処理、最小権限のDBアカウント使用がある。

Webアプリケーションの脆弱性を利用して、悪意のあるスクリプトをWebページに埋め込む攻撃。反射型、格納型、DOMベースの3種類がある。対策として出力時のHTMLエスケープ、Content-Security-Policy（CSP）ヘッダの設定、入力値の検証がある。

ログイン済みの利用者に対し、攻撃者が用意した罠のWebページを経由して、利用者の意図しないリクエストを正規のWebサイトに送信させる攻撃。対策としてCSRFトークンの埋め込みと検証、SameSite属性付きCookieの使用、Refererヘッダの検証がある。

Webアプリケーションの入力値を通じて、サーバ上でOSのコマンドを不正に実行させる攻撃手法。PHPのexec関数やsystem関数など、外部コマンドを実行する機能への入力値が適切にサニタイズされていない場合に発生する。対策としてコマンド実行関数の使用回避、入力値の厳格な検証がある。

Webアプリケーションのファイルパス指定の脆弱性を利用して、「../」などの相対パス表記により、本来アクセスが許可されていないディレクトリやファイルに不正にアクセスする攻撃。対策としてパス名やファイル名をパラメータとして受け取らない設計、入力値のバリデーションがある。

HTTPレスポンスヘッダに改行コードを含む不正な値を挿入し、レスポンスヘッダやボディを操作する攻撃。Cookieの不正設定、偽のレスポンスボディの挿入、キャッシュ汚染などが可能になる。対策として改行コードの除去や外部入力値のヘッダへの直接出力の回避がある。