侵入テスト担当者がこれらの脆弱性を悪用して不正アクセスを試みる最も効果的な攻撃方法は、アカウントロックアウトポリシーの欠如と冗長なエラーメッセージを利用して正しい認証情報を推測するブルートフォース攻撃を実行することです。ブルートフォース攻撃は、試行錯誤を使用してパスワード、ログイン認証情報、または暗号化キーを解読するハッキング手法です。これは、個人のアカウントや組織のシステムおよびネットワークへの不正アクセスを取得するためのシンプルかつ信頼性の高い戦術です1。このシナリオでは、テスト担当者は、アプリケーションが複数回のログイン試行失敗後にユーザーをロックアウトしないという事実を利用できます。つまり、テスト担当者はブロックされることなく、可能な限り多くの組み合わせを試すことができます。
テスターは、入力したユーザー名またはパスワードが間違っているかどうかを示す詳細なエラーメッセージも利用できます。これにより、検索範囲を絞り込み、必要な推測回数を減らすことができます。たとえば、テスターが間違ったユーザー名と間違ったパスワードを入力し、アプリケーションが次のような応答を返した場合、
「無効なユーザー名」と表示された場合、テスターはそのユーザー名を候補リストから除外し、正しいユーザー名の特定に集中できます。同様に、テスターが正しいユーザー名と間違ったパスワードを入力し、アプリケーションが「無効なパスワード」と応答した場合、テスターはそのユーザー名を確認し、正しいパスワードの特定に集中できます。自動化ツールやスクリプトを使用することで、テスターはブルートフォース攻撃をより迅速かつ効率的に実行できます。
他の選択肢は、以下の理由から、選択肢Aほど効果的でも実現可能でもありません。
B) テスターは、潜在的なSQLインジェクションの脆弱性を悪用して、アプリケーションのデータベースを操作する可能性がある。
このオプションは、アプリケーションがSQLインジェクションの脆弱性を持っているという兆候がないため、実行不可能です。SQLインジェクションとは、攻撃者がアプリケーションがデータベースに対して行うクエリに干渉できるWebセキュリティの脆弱性です。アプリケーションはフォームベース認証を使用しており、必ずしもSQLクエリが使用されるわけではありません。また、エラーメッセージにもSQL構文や構造は示されていません。さらに、アプリケーションがSQLインジェクションの脆弱性を持っていたとしても、テスターは認証メカニズムを回避してアプリケーションへのアクセスを許可できる悪意のあるSQLクエリを作成する必要がありますが、データベースの設計や構成によっては、それが不可能または容易ではない可能性があります。
C) テスターは、認証済みのセッション Cookie を盗むためにクロスサイトスクリプティング (XSS) 攻撃を実行し、クリックジャッキング保護を回避する可能性があります。このオプションは、アプリケーションが XSS に対して脆弱であるという証拠がないため効果的ではありません。XSS は、攻撃者が悪意のあるスクリプトを挿入することで、脆弱なアプリケーションとユーザーとのやり取りを侵害できる Web セキュリティの脆弱性です 3。アプリケーションは、クリックジャッキング攻撃を防ぐために HTTP ヘッダーを使用しています。クリックジャッキング攻撃は、Web ページ上の隠された要素または偽装された要素をクリックするようにユーザーをだますタイプの攻撃です 4。しかし、これはアプリケーションが XSS に対して脆弱であることを意味するものではありません。XSS には、異なるタイプの挿入ポイントとペイロードが必要です。さらに、アプリケーションが XSS に対して脆弱であったとしても、テスターは、すでに認証されている正当なユーザーに悪意のあるスクリプトを配信し、ユーザーのブラウザから盗まれたセッション Cookie を取得する方法を見つける必要があります。これは、アプリケーションの設計とセキュリティ対策によっては、実現不可能または容易ではない可能性があります。
D) テスターは中間者攻撃 (MitM) を実行して HTTP ヘッダーを傍受し、クリックジャッキング攻撃のために変更する可能性があります。このオプションは、MitM 攻撃は、直接通信していると信じている 2 つの当事者の間に攻撃者が割り込んで通信を中継または変更する必要があるタイプの攻撃であるため、実行できません 5。このシナリオでは、テスターはユーザーとアプリケーション間の HTTP トラフィックを傍受し、HTTP ヘッダーを変更してクリックジャッキング保護を削除または弱体化する必要があります。ただし、これにはテスターがネットワークインフラストラクチャまたはユーザーのデバイスにアクセスできる必要がありますが、ネットワークのセキュリティと暗号化によっては、これは不可能または容易ではない可能性があります。さらに、テスターが MitM 攻撃を実行できたとしても、テスターはユーザーを騙して Web ページ上の悪意のある要素をクリックさせる必要がありますが、これはユーザーの認識と行動によっては不可能または容易ではない可能性があります。
参考文献：
1：ブルートフォース攻撃とは？｜定義、種類、仕組み - Fortinet
2：SQLインジェクションとは？チュートリアルと例 | Web Security Academy
3：クロスサイトスクリプティング（XSS）｜OWASP財団
4：クリックジャッキングとは？｜定義、種類、事例 - Fortinet
5：中間者攻撃 - Wikipedia

ここで説明する問題は、冗長なエラーメッセージです。これは、アプリケーションが無効な入力を処理する際に、過剰な技術的詳細を表示する現象です。シナリオでは、プラットフォームが一般的なエラーではなく、「データベースクエリ文字列やディレクトリパスを含む詳細なシステム情報」を返すとされています。内部パスやクエリ文字列の公開は、冗長なエラー処理の一般的な症状です。例外処理の設定が誤っている場合や、本番環境でデバッグ設定が有効になっている場合、スタックトレース、SQLステートメント、ファイルシステムの場所、フレームワークのバージョン、構成ヒントなどが応答に表示されることがあります。
これらの詳細は、推測を減らすことができるため、攻撃者にとって価値があります。ディレクトリパスからは、オペレーティングシステム、デプロイメント構成、機密ファイルの場所が明らかになる可能性があり、データベースクエリ文字列からは、テーブルが明らかになる可能性があります。
列名やクエリ構造が漏洩し、より効果的な SQL インジェクション ペイロードやターゲットを絞ったデータ抽出が可能になります。また、詳細なエラーメッセージは、処理を誤るとユーザー名、内部ホスト名、API エンドポイント、さらには機密情報まで漏洩する可能性があります。最初の無効なリクエストでシステムが侵害されなかったとしても、漏洩した情報によって、攻撃者はその後の攻撃をより正確に作成する能力を大幅に向上させることができます。
他の選択肢が正確でない理由：
不適切なエラー処理（A）はより広いカテゴリーであり、冗長なエラーも含まれる可能性がありますが、この質問に最もよく当てはまるのは、詳細な内部情報漏洩という具体的な症状です。
ディレクトリトラバーサル（B）は、パス入力を操作して不正なファイルにアクセスするものです。ここでは、アプリケーションはエラーによってパスを明らかにしているのであって、任意のファイルを読み取るように強制されているわけではありません。
CORSの設定ミス（D）は、クロスオリジンブラウザアクセス制御に関連するものであり、スタックトレースやデータベースクエリの漏洩とは関係ありません。
したがって、正解はC. 詳細なエラーメッセージです。

オペレーション・クラウド・ホッパーは、2017年に英国（U.）のMSPを標的とした大規模な攻撃とデータ窃盗でした。
K)）、米国、日本、カナダ、ブラジル、フランス、スイス、ノルウェー、フィンランド、スウェーデン、南アフリカ、インド、タイ、韓国、オーストラリア。このグループは、MSPを仲介者として利用し、MSPの顧客であるエンジニアリング、MSPの工業製造、小売、エネルギー、製薬、電気通信、政府機関から資産や企業秘密を蓄積した。
「クラウドホッパー作戦」では、70種類以上のバックドア、マルウェア、トロイの木馬が使用されました。これらはスピアフィッシングメールを通じて配信されました。攻撃では、スケジュールされたタスクやサービス／ユーティリティを利用して、PCシステムが再起動されてもMicrosoft Windowsシステムを動作させ続けました。また、マルウェアやハッキングツールをインストールしてシステムにアクセスし、データを盗み出しました。