修了試験 2022-06-12実施分 基本情報技術者試験 問41

解説

正解は2です。 Webアプリケーションへの代表的な攻撃と、それぞれに有効な対策を組み合わせる問題です。 選択肢1と4は、攻撃名と対策の組合せが互いに入れ替わっています。 選択肢3は、別の攻撃への対策をクロスサイトスクリプティングの対策としています。 【選択肢別解説】 1：× セッションIDに推測困難な乱数を使うのは、セッションハイジャックへの対策です。 OSコマンドインジェクションへの対策は、Webアプリケーションからシェルを起動しないことや、入力値の検査です。 2：○ プレースホルダは、SQL文の値を入れる場所をあらかじめ記号で確保し、入力値を後から値として埋め込む仕組みです。 入力値がSQL文の一部として解釈されないので、SQLインジェクションを防げます。 3：× Webサーバ内のファイルを外部から直接参照できないようにするのは、ディレクトリトラバーサルなどへの対策です。 クロスサイトスクリプティングへの対策は、出力時に特殊文字をエスケープすることです。 4：× Webアプリケーションからシェルを起動できないようにするのは、OSコマンドインジェクションへの対策です。 セッションハイジャックへの対策は、推測困難なセッションIDの使用や暗号化通信です。 【ポイント】 SQLインジェクションにはプレースホルダ、クロスサイトスクリプティングにはエスケープ処理、OSコマンドインジェクションにはシェルを起動しない実装、と対応で覚えます。