平成26年度 秋期 応用情報技術者試験 午前 問40

• ア: OS コマンドインジェクション対策にセッション ID を推測困難にする
  誤り。セッション ID を推測困難にするのはセッションハイジャックの対策です。

• イ: SQL インジェクション対策にバインド機構を使用する
  正しい。バインド機構（プレースホルダ）を使うと，入力値が SQL 文の構文として解釈されず値として扱われるので，SQL インジェクションを防ぐことができます。

• ウ: クロスサイトスクリプティング対策に入力データをファイル名として直接指定しない
  誤り。入力データをファイル名として直接指定しないのは，ディレクトリトラバーサルの対策です。クロスサイトスクリプティングの対策は出力時のエスケープ処理などです。

• エ: セッションハイジャック対策にシェルを起動できないようにする
  誤り。シェルを起動できないようにするのは OS コマンドインジェクションの対策です。

答え

イ: SQL インジェクション対策にバインド機構を使用する