修了試験 2011-06-26実施分 基本情報技術者試験 問44

解説

正解は1です。 この問題は、Webアプリケーションへの代表的な攻撃手法の名称を問うています。 SQLインジェクションは、入力欄に不正な文字列を入れてSQL文を組み立てさせ、データベースを不正に操作する攻撃です。 【選択肢別解説】 1：○ 悪意のある入力でデータベースの問合せ命令を組み立てさせ、データの改ざんや不正取得を行う攻撃なので、SQLインジェクションです。 2：× 罠のページを閲覧させて、別のWebサイトで訪問者が意図しない操作を行わせるのは、CSRF（Cross-Site Request Forgery：クロスサイトリクエストフォージェリ）です。 3：× データベース製品の脆弱性を突いて自己増殖し、通信量を急増させるのは、ワームの説明です。 SQL Slammerなどがこの例です。 4：× 入力をそのまま表示するサイトにスクリプトを埋め込み、訪問者のブラウザで実行させるのは、クロスサイトスクリプティング（XSS）です。 【ポイント】 SQLインジェクションの対策には、プレースホルダ（バインド機構）の利用や、特殊文字のエスケープ処理があります。 XSSとCSRFは名前が似ているので、「スクリプトを実行させる」のがXSS、「操作を偽造させる」のがCSRFと区別します。