修了試験 2016-06-12実施分 基本情報技術者試験 問37

解説

正解は1です。 SQLインジェクションは、入力欄などにSQL文の一部を含む文字列を入力し、意図しないSQLを実行させる攻撃です。 入力値をそのままSQL文に組み込んでいるWebアプリケーションが狙われます。 【選択肢別解説】 1：○ 悪意のある命令文を入力し、データベースのデータを不正に取得・改ざんするのは、SQLインジェクションです。 2：× 罠のページを閲覧させ、別のサイトで利用者が意図しない操作を行わせるのは、クロスサイトリクエストフォージェリ（CSRF）の説明です。 3：× DBMSの脆弱性を突いて自己伝染を繰り返し、通信量を急増させるのは、ワームの説明です。 4：× 入力をそのまま表示するサイトにスクリプトを埋め込み、訪問者のブラウザで実行させるのは、クロスサイトスクリプティング（XSS）の説明です。 【ポイント】 SQLインジェクションの対策は、プレースホルダ（バインド機構）を使ってSQL文を組み立てることです。 特殊文字のエスケープ処理も対策になります。