Q68.
下列哪一項攻擊無法藉由過濾輸入參數來防禦？
電腦軟體應用 · 丙級 · 資訊安全 · Q68
難易度分析
2 / 5
此題考查對不同漏洞成因與防禦機制的區分能力，要求考生能辨識出哪些攻擊屬於輸入參數操縱，以及哪些屬於伺服器組態設定問題，屬於觀念釐清型的基礎題目。
正確答案：①Directory listing
① Directory listing:Directory listing（目錄列舉）是 Web 伺服器設定問題，當伺服器啟用目錄瀏覽功能時會暴露檔案結構。此攻擊並非透過使用者輸入參數發動，因此過濾輸入無法防禦，正確做法是關閉伺服器的目錄瀏覽功能。
錯誤選項解析
- ② SQL injection:SQL injection（SQL 注入）正是透過惡意輸入參數將 SQL 命令插入應用程式查詢中。可透過參數化查詢、輸入過濾與逸出特殊字元來有效防禦。
- ③ Cross site scripting:Cross-site scripting（XSS，跨站指令碼）攻擊是將惡意程式碼透過輸入欄位注入網頁。可透過輸入驗證、輸出編碼及設定 Content Security Policy 來防禦。
- ④ Command injection:Command injection（命令注入）是攻擊者在輸入參數中夾帶系統命令字元來執行惡意指令。可透過嚴格輸入驗證、白名單機制及避免直接呼叫系統命令來防禦。
Learning Tip
"本題核心考點在於區分「輸入型攻擊」與「伺服器設定缺陷」。SQL 注入、XSS、命令注入皆屬於利用惡意輸入參數發動的攻擊，可透過過濾輸入來防禦；而 Directory listing 屬於伺服器組態設定問題，需在 Apache 或 IIS 中關閉目錄瀏覽功能才能解決。實務上常混淆的觀念是：並非所有安全漏洞都能靠輸入驗證解決，伺服器安全加固與最小權限原則同樣重要。"
學員答題分佈
①Directory listing0%
②SQL injection0%
③Cross site scripting0%
④Command injection0%
此答題分佈是根據學員在 LongePass 模擬考等實際作答紀錄計算而成。與考友分享這道歷屆試題與詳細解析！