修了試験 2019-12-08実施分 基本情報技術者試験 問39

解説

正解は2です。 Webアプリケーションへの脅威と、その対策の正しい組合せを選ぶ問題です。 誤りの選択肢は、別の脅威の対策を組み合わせています。 【選択肢別解説】 1：× 推測困難な乱数のセッションIDは、セッションハイジャックの対策です。 OSコマンドインジェクションには、シェルを起動しない実装などで対策します。 2：○ プレースホルダを使うと、入力値が命令文の一部ではなく値として扱われます。 SQLインジェクションの有効な対策です。 3：× ファイルを外部から直接参照できなくするのは、ディレクトリトラバーサルなどの対策です。 クロスサイトスクリプティングには、出力時のエスケープ処理で対策します。 4：× シェルを起動できなくするのは、OSコマンドインジェクションの対策です。 セッションハイジャックには、推測困難なセッションIDなどで対策します。 【ポイント】 選択肢1と4は、対策を入れ替えると正しい組合せになります。 脅威と対策を対にして覚えておくと、このような入替え型の問題に強くなります。