平成28年度 春期 基本情報技術者試験 午前 問37
テクノロジ／セキュリティSQLインジェクション攻撃の説明として，適切なものはどれか。
出典：平成28年度 春期 基本情報技術者試験 午前 問37
- アWebアプリケーションのデータ操作言語の呼出し方に不備がある場合に，攻撃者が悪意をもって構成した文字列を入力することによって，データベースのデータの不正な取得，改ざん及び削除をする攻撃
- イWebサイトに対して，他のサイトを介して大量のパケットを送り付け，そのネットワークトラフィックを異常に高めてサービスを提供不能にする攻撃
- ウ確保されているメモリ空間の下限又は上限を超えてデータの書込みと読出しを行うことによって，プログラムを異常終了させたりデータエリアに挿入された不正なコードを実行させたりする攻撃
- エ攻撃者が罠を仕掛けたWebページを利用者が閲覧し，当該ページ内のリンクをクリックしたときに，不正スクリプトを含む文字列が脆弱なWebサーバに送り込まれ，レスポンスに埋め込まれた不正スクリプトの実行によって，情報漏えいをもたらす攻撃
正解：ア
解説
SQLインジェクションは，Webアプリケーションのデータ操作言語（SQL文）の呼出し方に不備がある場合に，攻撃者が悪意のある文字列を入力することで，データベースのデータを不正に取得・改ざん・削除する攻撃です。
選択肢ごとの解説
- ア正しい。SQLインジェクション攻撃の説明です。
- イ誤り。これはDDoS攻撃（分散反射攻撃など）の説明です。
- ウ誤り。これはバッファオーバフロー攻撃の説明です。
- エ誤り。これはクロスサイトスクリプティング攻撃の説明です。