平成24年度 春期 応用情報技術者試験 午前 問43
テクノロジ／セキュリティWebアプリケーションにおける脅威とそのセキュリティ対策の適切な組合せはどれか。
出典：平成24年度 春期 応用情報技術者試験 午前 問43
- アOSコマンドインジェクションを防ぐために，Webアプリケーションが発行するセッションIDを推測困難なものにする。
- イSQLインジェクションを防ぐために，Webアプリケーション内でデータベースへの問合せを作成する際にバインド機構を使用する。
- ウクロスサイトスクリプティングを防ぐために，外部から渡す入力データをWebサーバ内のファイル名として直接指定しない。
- エセッションハイジャックを防ぐために，Webアプリケーションからシェルを起動できないようにする。
正解：イ
解説
SQLインジェクション対策としては，データベースへの問合せ文をバインド機構（プレースホルダ）を用いて組み立てることで，入力データが命令として解釈されるのを防ぐことが有効です。
選択肢ごとの解説
- ア誤り。セッションIDを推測困難にするのはセッションハイジャック対策であり，OSコマンドインジェクション対策ではありません。
- イ正しい。バインド機構を使用してSQL文を組み立てることは，SQLインジェクションを防ぐ有効な対策です。
- ウ誤り。入力データをファイル名として直接使わないようにする対策は，ディレクトリトラバーサル攻撃対策として有効であり，クロスサイトスクリプティング対策としては出力時のエスケープ処理などが必要です。
- エ誤り。Webアプリケーションからシェルを起動できないようにするのはOSコマンドインジェクション対策であり，セッションハイジャック対策ではありません。