TCPのPSH（プッシュ）フラグは、送信システムに以下のことを指示します。
データをアプリケーションに即座に送信する。
追加のバッファリングデータが完全なセグメントを形成するまで待つことは避けてください。
これは、TelnetやSSHのような双方向通信において重要です。これらの通信では、送信の遅延がユーザーエクスペリエンスを低下させるからです。
CEH v13コースウェアより：
モジュール3：ネットワークのスキャン # TCPフラグとパケット構造
参考資料：CEH v13 学習ガイド - モジュール 3：TCP ヘッダー フィールドとフラグ、RFC 793 - 伝送制御プロトコル (TCP)

パケットキャプチャにおける重要な観察結果：
0x90の値が繰り返される場合は、NOPスレッド（No Operation命令）を示しており、バッファオーバーフローペイロードで悪意のあるシェルコードへの実行を誘導するためによく使用されます。
ASCIIコードに「/bin/sh」が含まれているということは、攻撃者がオーバーフローが成功した後、被害者のシステム上でシェル（コマンドラインアクセス）を起動しようとしていることを示しています。
ペイロードには、シェルを起動するシェルコードが含まれている可能性が高く、攻撃者にコマンドラインアクセス権限を与えることになる。
CEH v13公式コースウェアより：
モジュール6：マルウェアの脅威
モジュール9：サービス拒否攻撃
モジュール5：脆弱性分析
CEH v13学習ガイドには次のように記載されています。
「バッファオーバーフロー攻撃では、通常、NOPスレッドの後にシェルコードが注入されます。文字列「/bin/sh」は、攻撃者にコマンドアクセス権限を与えることを目的としたシェル生成コードの典型的な兆候です。」 誤ったオプション:
A：IDSが攻撃を阻止したという証拠はなく、ログに記録しただけです。
B: ディレクトリの作成には、NOPスレッドやシェルの起動は含まれません。
C：成功は確認できません。意図と方法だけが明らかです。
参考資料：CEH v13 学習ガイド - モジュール 6：バッファオーバーフロー分析 Snort IDS ルール分析 # バッファオーバーフローパターンとシェルコード検出

サイバーキルチェーン手法に基づくと、攻撃者が次に取る可能性が最も高い行動は、標的組織に送り込まれた悪意のあるペイロードを悪用して足がかりを築くことです。この方法は次のように機能します。
サイバーキルチェーン手法とは、攻撃者の視点からサイバー攻撃の各段階を説明するフレームワークです。防御側が攻撃者の目的、戦術、技術を理解し、効果的な対策を設計するのに役立ちます。サイバーキルチェーン手法は、以下の7つの段階で構成されています。
偵察、兵器化、輸送、利用、設置、指揮統制、および目標に対する行動12。
配信段階はサイバーキルチェーン手法の第3段階であり、標的システムに攻撃ペイロードを送信する段階です。配信段階では、電子メールの添付ファイル、ウェブリンク、リムーバブルメディア、ネットワークプロトコルなど、さまざまな方法を使用できます。配信段階の目的は、標的システムに到達し、ファイアウォール、ウイルス対策ソフト、電子メールフィルタなどのセキュリティ制御を回避することです12。
悪用段階はサイバーキルチェーン手法の第4段階であり、標的システム上で悪意のあるペイロードを実行する段階です。悪用段階では、バッファオーバーフロー、コードインジェクション、権限昇格など、さまざまな手法が用いられます。悪用段階の目的は、標的システムの脆弱性や弱点を悪用し、ファイル、プロセス、メモリなどのリソースへのアクセス権を取得することです12。
インストール段階はサイバーキルチェーン手法の5番目の段階であり、ターゲットシステムにバックドアまたはマルウェアをインストールする段階です。インストール段階では、ルートキット、トロイの木馬、ランサムウェアなど、さまざまなツールを使用できます。インストール段階の目的は、ターゲットシステムに足がかりを築き、永続性を維持することです。つまり、再起動、アップデート、スキャン後もシステムを維持します12。
したがって、サイバーキルチェーン手法に基づくと、攻撃者が次に取る可能性が最も高い行動は、標的組織に送り込まれた悪意のあるペイロードを悪用して足がかりを築くことである。その理由は以下のとおりである。
この行動は、サイバーキルチェーン手法の論理的な順序に従っており、配信段階の次の段階にあたります。
この行動は攻撃者の目的に合致しており、攻撃者が標的システムへのアクセス権と制御権を獲得し、さらなる行動の準備を整えることを可能にする。
攻撃者は既に標的システムに悪意のあるペイロードを送り込んでおり、一部のセキュリティ制御を回避している可能性があるため、この行動は実行可能である。
他の選択肢は、以下の理由から選択肢Bほど可能性が高くありません。
A) 攻撃者は、侵害されたシステムを完全に制御するために権限を昇格させようとします。このオプションは可能ですが、最も可能性の高いものではありません。なぜなら、これはサイバーキルチェーン手法の次の段階ではなく、エクスプロイト段階またはインストール段階で使用できるテクニックだからです。
特権昇格とは、システムへのアクセス権限や許可レベルを上げる方法であり、例えば一般ユーザーから管理者への権限昇格などが挙げられます。特権昇格は、攻撃者が侵害されたシステムを完全に制御するのに役立ちますが、必須の手順ではありません。攻撃者は既に十分な権限を持っている場合や、同じ目的を達成するために他の手法を使用する場合もあるからです12。
C) 攻撃者は、より多くのデータを収集するために、ターゲットシステムへのアクティブな接続を開始します。このオプションは可能ですが、最も可能性の高いものではありません。なぜなら、これはサイバーキルチェーン手法の次の段階ではなく、コマンドと制御の段階または目標に対するアクションの段階で使用できるテクニックだからです。アクティブな接続とは、攻撃者がリモートシェルやボットネットなど、ターゲットシステムからコマンドを送信したりデータを受信したりできる通信チャネルです。アクティブな接続は、攻撃者がターゲットシステムからより多くのデータを収集するのに役立ちますが、攻撃者がすでに十分なデータを持っている場合や、より多くのデータを取得するために他のテクニックを使用する可能性があるため、必須の手順ではありません12。
D) 攻撃者は偵察を開始し、標的について可能な限り多くの情報を収集します。このオプションは、サイバーキルチェーン手法の次の段階ではなく、最初の段階であるため、可能性は低いです。偵察とは、標的のIPアドレス、ドメイン名、ネットワーク構造、サービス、脆弱性、従業員などの情報を収集するプロセスです。偵察は通常、攻撃者が標的を特定し、攻撃を計画するのに役立つため、配信段階の前に行われます。偵察は配信段階の後にもう一度行われることもありますが、攻撃者がすでに十分な情報を持っているか、他のアクションに集中している可能性があるため、最も可能性の高いアクションではありません12。
参考文献：
1：サイバーキルチェーン：サイバー攻撃の7つのステップ - EC-Council
2：サイバーキルチェーン｜ロッキード・マーティン

ルートキットの主な目的は、正規のシステムバイナリ（ls、ps、netstatなど）を変更または置き換えることで悪意のある活動を隠蔽し、悪意のあるファイル、ユーザー、プロセスの存在を検知されないようにすることです。これにより、攻撃者は永続的かつ隠密なアクセスを維持できます。
CEH v13公式コースウェアより：
* モジュール 6: マルウェアの脅威 # ルートキット
CEH v13学習ガイドには次のように記載されています。
「ルートキットは、正規のオペレーティングシステムユーティリティやバイナリを置き換えることで、他の悪意のあるプロセスやプログラムの存在を隠蔽するように設計されたステルスプログラムです。そのため、検出と削除が非常に困難になります。」 間違った選択肢:
* A: これはバックドアの挙動です。
* B: バッファオーバーフローは攻撃手法の一つであり、ルートキットの目的ではありません。
* D: ルートキットのコア機能ではなく、バックドアまたは脆弱性を指します。
参考資料：CEH v13 学習ガイド - モジュール 6：ルートキットとマルウェアの種類、NIST SP 800-83 - マルウェアインシデントの予防と対処

包括的かつ詳細な説明：
図示された攻撃はディレクトリトラバーサル攻撃です。URLエンコード（16進数難読化）を使用して入力フィルタを回避し、/etc/passwdなどの許可されていないファイルにアクセスします。
%2e = . (ドット)
%2f = / (スラッシュ)
したがって、../../../etc/passwd は %2e%2e%2f%2e%2e%2f%2e%2e%2f%65%74%63%2f%70%61%73%73% になります。
77%64
この攻撃に対する最善の防御策は次のとおりです。
* サーバー上でユーザー入力を正規化およびサニタイズする。
エンコードされているか否かにかかわらず、ディレクトリトラバーサルパターンを拒否します。
* 16 進数でエンコードされたパス文字 (%2e、%2f など) を具体的に拒否または拒否します。オプション A は、サーバーが 16 進数でエンコードされたディレクトリ トラバーサル試行をデコードして処理するのを防ぐことで、これを直接軽減します。
CEH v13コースウェアより：
* モジュール10：Webアプリケーションのハッキング
* トピック：ディレクトリ走査と入力検証
誤った選択肢：
* B: IDSは警告を発することはできますが、予防的というよりは事後対応型です。
* C: SSLは通信を暗号化しますが、パス・トラバーサル攻撃を防ぐものではありません。
* D: アクティブスクリプトの検出は、パストラバーサル攻撃とは無関係です。
参考資料：CEH v13 学習ガイド - モジュール 10：ディレクトリ トラバーサル対策、OWASP Top 10 - A5:2017 - アクセス制御の不備（ディレクトリ トラバーサル）、RFC 3986 - URI 構文とエンコーディング