修了試験 2018-12-09実施分 基本情報技術者試験 問38

解説

正解は1です。 SQLインジェクションは、Webアプリケーションの入力欄などに、SQL文の一部となる文字列を入力して実行させる攻撃です。 入力値を適切に処理していないと意図しないSQL文が実行され、データベースのデータを盗まれたり改ざんされたりします。 【選択肢別解説】 1：○ Webアプリケーションの不備を突き、悪意のある問合せや操作の命令文を入力して、データベースのデータを不正に取得・改ざんする攻撃がSQLインジェクションです。 2：× 罠を仕掛けたWebページを閲覧させ、別のWebサイトで訪問者が意図しない操作を行わせる攻撃は、CSRF（Cross-Site Request Forgery：クロスサイトリクエストフォージェリ）です。 3：× DBMSの脆弱性を悪用して感染を繰り返し、トラフィックを急増させるのはワームの説明です。 SQL Slammerなどが代表例で、SQLインジェクションとは異なります。 4：× 入力データをそのまま表示するWebサイトを悪用して、訪問者のブラウザで悪意のあるスクリプトを実行させる攻撃は、XSS（Cross-Site Scripting：クロスサイトスクリプティング）です。 【ポイント】 SQLインジェクションの代表的な対策は、プレースホルダ（バインド機構）を使ってSQL文を組み立てることです。 攻撃の対象がデータベースならSQLインジェクション、利用者のブラウザならXSSと区別しましょう。