平成24年度 秋期 基本情報技術者試験 午前 問40
テクノロジ／セキュリティSQLインジェクションの説明はどれか。
出典：平成24年度 秋期 基本情報技術者試験 午前 問40
- アWebアプリケーションに問題があるとき，データベースに悪意のある問合せや操作を行う命令文を入力して，データベースのデータを改ざんしたり不正に取得したりする攻撃
- イ悪意のあるスクリプトを埋め込んだWebページを訪問者に閲覧させて，別のWebサイトで，その訪問者が意図しない操作を行わせる攻撃
- ウ市販されているDBMSの脆弱性を利用することによって，宿主となるデータベースサーバを探して自己伝染を繰り返し，インターネットのトラフィックを急増させる攻撃
- エ訪問者の入力データをそのまま画面に表示するWebサイトに対して，悪意のあるスクリプトを埋め込んだ入力データを送ることによって，訪問者のブラウザで実行させる攻撃
正解：ア
解説
SQLインジェクションは，Webアプリケーションの入力値の検証が不十分な場合に，データベースへの命令文を不正に入力・実行させ，データの改ざんや不正取得を行う攻撃です。
選択肢ごとの解説
- ア正しい。SQLインジェクションは，データベースへの悪意ある問合せや操作を行う命令文を入力し，データの改ざんや不正取得を行う攻撃です。
- イ誤り。悪意あるスクリプトを別のWebページに埋め込み，訪問者に意図しない操作を行わせる攻撃はクロスサイトリクエストフォージェリ（CSRF）の説明です。
- ウ誤り。DBMSの脆弱性を利用して自己伝染を繰り返す攻撃はワームの説明です。
- エ誤り。入力データをそのまま画面表示するサイトに悪意あるスクリプトを送り込む攻撃はクロスサイトスクリプティング（XSS）の説明です。