修了試験 2020-07-26実施分 基本情報技術者試験 問35

解説

正解は1です。 Webアプリケーションに対する代表的な攻撃手法を区別する問題です。 それぞれの攻撃が、どこの不備を突くのかに注目します。 【選択肢別解説】 1：○ SQLインジェクションは、入力欄にSQLの断片を含む悪意ある文字列を入力する攻撃です。 SQL文の組立て方に不備があるとそのまま実行され、データの不正な取得・改ざん・削除が行われます。 2：× 他のサイトを介して大量のパケットを送り付け、サービスを提供不能にする攻撃は、DDoS（Distributed Denial of Service）攻撃です。 3：× 確保したメモリ領域の範囲を超えて読み書きし、異常終了や不正なコードの実行を狙う攻撃は、バッファオーバフロー攻撃です。 4：× 罠のページのリンクから脆弱なWebサーバへ不正なスクリプトを送り込み、レスポンスに埋め込ませて実行させる攻撃は、クロスサイトスクリプティングです。 【ポイント】 SQLインジェクションの対策には、プレースホルダ（バインド機構）の利用や、特殊文字のエスケープ処理があります。 クロスサイトスクリプティングの対策は、出力時のエスケープ処理です。