平成24年度 春期 応用情報技術者試験 午前 問43

• ア: OS コマンドインジェクション対策にセッション ID を推測困難にする
  誤り。セッション ID を推測困難にするのはセッションハイジャックの対策です。

• イ: SQL インジェクション対策にバインド機構を使用する
  正しい。バインド機構（プレースホルダ）を使うと，入力値は SQL 文の構造とは切り離されて値として扱われるため，SQL インジェクションを防げます。

• ウ: クロスサイトスクリプティング対策に入力データをファイル名として直接指定しない
  誤り。ファイル名を直接指定しないのはディレクトリトラバーサルの対策です。クロスサイトスクリプティングの対策は出力時のエスケープ処理などです。

• エ: セッションハイジャック対策にシェルを起動できないようにする
  誤り。シェルを起動できないようにするのは OS コマンドインジェクションの対策です。

答え

イ: SQL インジェクション対策にバインド機構を使用する