平成27年度 春期 基本情報技術者試験 午前 問42
テクノロジ／セキュリティSQLインジェクション攻撃の説明はどれか。
出典：平成27年度 春期 基本情報技術者試験 午前 問42
- アWebアプリケーションに問題があるとき，悪意のある問合せや操作を行う命令文を入力して，データベースのデータを不正に取得したり改ざんしたりする攻撃
- イ悪意のあるスクリプトを埋め込んだWebページを訪問者に閲覧させ，別のWebサイトで，その訪問者が意図しない操作を行わせる攻撃
- ウ市販されているDBMSの脆弱性を利用することによって，宿主となるデータベースサーバを探して自己伝染を繰り返し，インターネットのトラフィックを急増させる攻撃
- エ訪問者の入力データをそのまま画面に表示するWebサイトに対して，悪意のあるスクリプトを埋め込んだ入力データを送ることによって，訪問者のブラウザで実行させる攻撃
正解：ア
解説
SQLインジェクションは，Webアプリケーションの入力値の検証が不十分な場合に，悪意のあるSQL文の断片を入力することで，データベースに対して開発者が意図しない問合せや操作を行わせ，データを不正に取得・改ざん・削除する攻撃手法です。
下線の用語は 用語集 で意味を確認できます。
選択肢ごとの解説
- ア正しい。悪意のある問合せや操作を行う命令文を入力し，データベースを不正に操作するのがSQLインジェクション攻撃です。
- イ誤り。これはクロスサイトリクエストフォージェリ（CSRF）の説明です。
- ウ誤り。これはコンピュータワームの説明です。
- エ誤り。これはクロスサイトスクリプティング（XSS）の説明です。