情報処理技術者試験 情報処理安全確保支援士（ＳＣ)
の令和４年度春問題、午前２を隔日２問ずつ解いてい
きます。
問題の解き方や考え方を理解し、暗記していきましょ
う。なお、問題の引用ルールはＩＰＡに準じています。
問１
Ｗｅｂサーバのログを分析したところ、Ｗｅｂサーバへの攻撃と思
われるＨＴＴＰリクエストヘッダが記録されていた。次のＨＴＴＰ
リクエストヘッダから推測できる、攻撃者が悪用しようとしていた
可能性が高い脆弱性はどれか。ここで、ＨＴＴＰリクエストヘッダ
中の"%２０"は空白を意味する。
〔ＨＴＴＰリクエストヘッダの一部〕
ＧＥＴ /ｃｇｉ-ｂｉｎ/ｓｕｂｍｉｔ.ｃｇｉ?ｕｓｅｒ=;
ｃａｔ%２０/ｅｔｃ/ｐａｓｓｗｄ ＨＴＴＰ/１.１
Ａｃｃｅｐｔ: */*
Ａｃｃｅｐｔ-Ｌａｎｇｕａｇｅ: ｊａ
ＵＡ-ＣＰＵ: ｘ８６
Ａｃｃｅｐｔ-Ｅｎｃｏｄｉｎｇ: ｇｚｉｐ、ｄｅｆｌａｔｅ
Ｕｓｅｒ-Ａｇｅｎｔ: (省略)
Ｈｏｓｔ: ｔｅｓｔ.ｅｘａｍｐｌｅ.ｃｏｍ
Ｃｏｎｎｅｃｔｉｏｎ: Ｋｅｅｐ-Ａｌｉｖｅ
ア ＨＴＴＰヘッダインジェクション
(ＨＴＴＰ Ｒｅｓｐｏｎｓｅ Ｓｐｌｉｔｔｉｎｇ)
イ ＯＳコマンドインジェクション
ウ ＳＱＬインジェクション
エ クロスサイトスクリプティング
問２
ＳＡＭＬ
(Ｓｅｃｕｒｉｔｙ Ａｓｓｅｒｔｉｏｎ Ｍａｒｋｕｐ
Ｌａｎｇｕａｇｅ)の説明として、最も適切なものはどれか。
ア Ｗｅｂサービスに関する情報を公開し、Ｗｅｂサービス
が提供する機能などを検索可能にするための仕様
イ 権限がない利用者による読取り、改ざんから電子メール
を保護して送信するための仕様
ウ デジタル署名に使われる鍵情報を効率よく管理するため
のＷｅｂサービスの仕様
エ 認証情報に加え、属性情報と認可情報を異なるドメイン
に伝達するためのＷｅｂサービスの仕様
（正解）
イエ
（本日のクリティカルフレーズ）
・問題に潜む、解答を導くフレーズを赤字で示しています。
こうきたら、こう返すフレーズですので、要暗記です。
・紫字は解説となっています
問１
Ｗｅｂサーバのログを分析したところ、Ｗｅｂサーバへの攻撃と思
われるＨＴＴＰリクエストヘッダが記録されていた。次のＨＴＴＰ
リクエストヘッダから推測できる、攻撃者が悪用しようとしていた
可能性が高い脆弱性はどれか。ここで、ＨＴＴＰリクエストヘッダ
中の"%２０"は空白を意味する。
〔ＨＴＴＰリクエストヘッダの一部〕
ＧＥＴ /ｃｇｉ-ｂｉｎ/ｓｕｂｍｉｔ.ｃｇｉ?ｕｓｅｒ=;
ｃａｔ%２０/ｅｔｃ/ｐａｓｓｗｄ ＨＴＴＰ/１.１
Ａｃｃｅｐｔ: */*
Ａｃｃｅｐｔ-Ｌａｎｇｕａｇｅ: ｊａ
ＵＡ-ＣＰＵ: ｘ８６
Ａｃｃｅｐｔ-Ｅｎｃｏｄｉｎｇ: ｇｚｉｐ、ｄｅｆｌａｔｅ
Ｕｓｅｒ-Ａｇｅｎｔ: (省略)
Ｈｏｓｔ: ｔｅｓｔ.ｅｘａｍｐｌｅ.ｃｏｍ
Ｃｏｎｎｅｃｔｉｏｎ: Ｋｅｅｐ-Ａｌｉｖｅ
ア ＨＴＴＰヘッダインジェクション
(ＨＴＴＰ Ｒｅｓｐｏｎｓｅ Ｓｐｌｉｔｔｉｎｇ)
イ ＯＳコマンドインジェクション
ウ ＳＱＬインジェクション
エ クロスサイトスクリプティング
問２
ＳＡＭＬ
(Ｓｅｃｕｒｉｔｙ Ａｓｓｅｒｔｉｏｎ Ｍａｒｋｕｐ
Ｌａｎｇｕａｇｅ)の説明として、最も適切なものはどれか。
ア Ｗｅｂサービスに関する情報を公開し、Ｗｅｂサービス
が提供する機能などを検索可能にするための仕様
イ 権限がない利用者による読取り、改ざんから電子メール
を保護して送信するための仕様
ウ デジタル署名に使われる鍵情報を効率よく管理するため
のＷｅｂサービスの仕様
エ 認証情報に加え、属性情報と認可情報を異なるドメイン
に伝達するためのＷｅｂサービスの仕様
