セキュリティ

SQLインジェクションの対策として、有効なものはどれか。

ア.URL をWeb ページに出力するときは、“http://”や“https://”で始まる URL だけを許可する。

イ.外部からのパラメータでWebサーバ内のファイル名を直接指定しない。

ウ.スタイルシートを任意のWebサイトから取り込めるようにしない。

エ.プレースホルダを使って命令文を組み立てる。正解

解説

SQLインジェクションは「注文伝票に悪意のある追加注文を書き込む攻撃」で、プレースホルダは『記入欄が決まった専用伝票』を使って書き換え不能にする仕組みです。

なぜエが正解か

プレースホルダ（`?`や`:name`）を使うと、SQLの『命令の骨格』と『ユーザーのデータ』を別ルートでDBに渡せます。DBは骨格をコンパイルした後にデータを埋め込むので、たとえ入力が `' OR '1'='1` でも『ただの文字列』として扱われ、命令文として実行されません。伝票の品目欄に何を書いても『料理名』としか読まれない、そういう仕掛けです。

なぜアは間違いか

URLを `http://` 限定にするのはオープンリダイレクト・XSS対策で、データベースとは無関係。SQLインジェクション犯はURLよりフォームの入力欄が大好きです。

なぜイは間違いか

ファイル名を外部から指定させないのはパストラバーサル攻撃の対策。ファイル泥棒は防げますが、DB泥棒には効きません。

なぜウは間違いか

外部スタイルシートを制限するのはCSP・CSSインジェクション対策。画面の見た目は守れますが、裏のデータベースは守れないので、おしゃれな外観のまま中身を盗まれます。

出典: 基本情報技術者試験令和6年公開問題

← 前の問題

図のような構成と通信サービスのシステムにおいて、Webアプリケーションの脆弱性対策のためのWAFの設置場所として、最も適切な箇所はどこか。ここで、WAFには通信を暗号化したり、復号したりする機能はないものとする。

次の問題 →

WAFの説明はどれか。

セキュリティの問題を解くこの分野の問題一覧を見る