修了試験 2013-12-15実施分 基本情報技術者試験 問42

解説

正解は1です。 SQLインジェクションは、Webアプリケーションの入力欄などにSQL文の一部を入力し、データベースに不正な命令を実行させる攻撃です。 入力値をそのままSQL文に組み込んでいるWebアプリケーションが狙われます。 【選択肢別解説】 1：○ データベースに悪意のある問合せや操作を行う命令文を入力し、データの改ざんや不正取得を行うのは、SQLインジェクションです。 対策には、プレースホルダ（バインド機構）の利用や入力値のエスケープ処理があります。 2：× 罠のWebページを閲覧させ、別のWebサイトで利用者が意図しない操作を行わせるのは、CSRF（Cross Site Request Forgery：クロスサイトリクエストフォージェリ）です。 3：× DBMSの脆弱性を突いて自己伝染を繰り返し、トラフィックを急増させるのは、ワームと呼ばれるマルウェアの説明です。 2003年に流行したSQL Slammerがこの例に当たります。 4：× 入力データをそのまま画面に表示するWebサイトにスクリプトを埋め込み、訪問者のブラウザで実行させるのは、XSS（Cross Site Scripting：クロスサイトスクリプティング）です。 【ポイント】 SQLインジェクションはデータベース、XSSは閲覧者のブラウザ、CSRFは利用者になりすました操作が狙いです。 攻撃の対象が何かで区別すると覚えやすくなります。