平成26年度秋期 応用情報技術者試験 午前 問40

正解：イ

AI解説

SQLインジェクションは、入力データにSQL文の断片を混入させて意図しないSQLを実行させる攻撃である。対策の代表がバインド機構(プレースホルダ)で、SQL文の構造を先に確定し、入力値を後から単なる値として埋め込むため、入力中の記号がSQLとして解釈されず攻撃が成立しない。脅威と対策の対応が正しいのはこの組合せだけである。 ア: セッションIDを推測困難にするのはセッションハイジャック対策である。OSコマンドインジェクション対策はシェル呼出しの禁止や入力の無害化である。 イ: 正しい。バインド機構はSQLインジェクションの根本的対策である。 ウ: 入力データをファイル名として直接指定しないのはディレクトリトラバーサル対策である。クロスサイトスクリプティング対策は出力時のエスケープ処理である。 エ: シェルを起動できなくするのはOSコマンドインジェクション対策である。セッションハイジャック対策はセッションIDの推測困難化や再発行などである。 💡 この問題は対策のシャッフルが仕掛け。「SQLi=バインド機構」「XSS=エスケープ」「ディレクトリトラバーサル=ファイル名直接指定禁止」「OSコマンドインジェクション=シェル起動禁止」「セッションハイジャック=ID推測困難化」の対応表を丸ごと覚える。