平成29年度 秋期 基本情報技術者試験 午前 問39
テクノロジ／セキュリティSQLインジェクション攻撃の説明はどれか。
出典：平成29年度 秋期 基本情報技術者試験 午前 問39
- アWebアプリケーションに問題があるとき，悪意のある問合せや操作を行う命令文をWebサイトに入力して，データベースのデータを不正に取得したり改ざんしたりする攻撃
- イ悪意のあるスクリプトを埋め込んだWebページを訪問者に閲覧させて，別のWebサイトで，その訪問者が意図しない操作を行わせる攻撃
- ウ市販されているDBMSの脆弱性を悪用することによって，宿主となるデータベースサーバを探して感染を繰り返し，インターネットのトラフィックを急増させる攻撃
- エ訪問者の入力データをそのまま画面に表示するWebサイトを悪用して，悪意のあるスクリプトを訪問者のWebブラウザで実行させる攻撃
正解：ア
解説
SQLインジェクションは，Webアプリケーションの入力チェックの不備を突いて，悪意のあるSQL文の断片を入力データに混入させ，データベースへ不正な問合せや操作を行わせる攻撃です。これにより，データの不正取得や改ざんなどの被害が発生します。
選択肢ごとの解説
- ア正しい。悪意のある問合せや操作を行う命令文を入力し，データベースを不正に操作するのがSQLインジェクション攻撃です。
- イ誤り。悪意のあるスクリプトを埋め込んだWebページを訪問者に閲覧させ，別サイトで意図しない操作をさせる攻撃は，クロスサイトリクエストフォージェリ（CSRF）の説明です。
- ウ誤り。DBMSの脆弱性を悪用して自己増殖しながら感染を広げ，トラフィックを急増させる攻撃は，ワーム（SQL Slammerなど）の説明です。
- エ誤り。訪問者の入力データをそのまま画面に表示するサイトを悪用し，悪意のあるスクリプトを実行させる攻撃は，クロスサイトスクリプティング（XSS）の説明です。