平成22年度 春期 応用情報技術者試験 午前 問43
テクノロジ／セキュリティSQLインジェクションの説明はどれか。
出典：平成22年度 春期 応用情報技術者試験 午前 問43
- アWebアプリケーションに悪意のある入力データを与えてデータベースの問合せや操作を行う命令文を組み立てて，データを改ざんしたり不正に情報取得したりする攻撃
- イ悪意のあるスクリプトが埋め込まれたWebページを訪問者に閲覧させて，別のWebサイトで，その訪問者が意図しない操作を行わせる攻撃
- ウ市販されているデータベース管理システムの脆弱性を利用して，宿主となるデータベースサーバを探して自己伝染を繰り返し，インターネットのトラフィックを急増させる攻撃
- エ訪問者の入力データをそのまま画面に表示するWebサイトに対して，悪意のあるスクリプトを埋め込んだ入力データを送り，訪問者のブラウザで実行させる攻撃
正解：ア
解説
SQLインジェクションは，Webアプリケーションの入力欄などに悪意のあるデータを入力し，想定外のSQL文を組み立てさせることでデータベースを不正に操作する攻撃です。
選択肢ごとの解説
- ア正しい。入力データによってSQL文を不正に組み立てさせ，データベースを改ざん・不正取得する攻撃がSQLインジェクションです。
- イ誤り。訪問者を別サイトで意図しない操作を行わせる攻撃はクロスサイトリクエストフォージェリ（CSRF）の説明です。
- ウ誤り。データベース管理システムの脆弱性を突いて自己伝染を繰り返す攻撃はワームの説明です。
- エ誤り。入力データをそのまま表示するサイトに悪意のあるスクリプトを送り込む攻撃はクロスサイトスクリプティング（XSS）の説明です。