平成22年度 春期 応用情報技術者試験 午前 問43

SQLインジェクションは、Webアプリケーションの入力欄などに、SQL文の一部となる文字列を入力し、意図しないSQL文を実行させてデータベースを不正に操作する攻撃です。

各選択肢の確認

• ア: 悪意のある入力データでデータベースを操作する命令文を組み立てる攻撃 正しい。SQLインジェクションの説明です。

• イ: 別のWebサイトで訪問者が意図しない操作を行わせる攻撃 誤り。クロスサイトリクエストフォージェリ（CSRF）の説明です。

• ウ: DBMSの脆弱性を利用して自己伝染を繰り返す攻撃 誤り。ワーム（SQL Slammer など）による攻撃の説明です。

• エ: 入力データをそのまま表示するWebサイトを悪用し，訪問者のブラウザでスクリプトを実行させる攻撃 誤り。クロスサイトスクリプティング（XSS）の説明です。

答え

ア: Webアプリケーションに悪意のある入力データを与えてデータベースの問合せや操作を行う命令文を組み立てて，データを改ざんしたり不正に情報取得したりする攻撃