基本情報技術者試験 基本情報技術者試験 平成25年度 春期 午前 午前 問40: SQLインジェクション攻撃を防ぐ方法はどれか。

正解

ア. 入力中の文字がデータベースへの問合せや操作において，特別な意味をもつ文字として解釈されないようにする。

正答率 56.3%（1,395人中 785人が正解）

問題の解説

SQLインジェクションは入力された文字列に含まれる引用符などのSQL特殊文字をそのままSQL文に連結することで攻撃が成立します。対策は特殊文字をエスケープしたり、プレースホルダ（プリペアドステートメント）を使って、入力をSQL文の構文要素として解釈させないことです。よってアが正解です。

選択肢ごとの解説

• ア入力に含まれるSQL特殊文字を構文として解釈させない対策はSQLインジェクションの根本対策であり正解です。
• イHTMLタグのエスケープはクロスサイトスクリプティング(XSS)対策で、SQLインジェクションとは別の攻撃に対する対策です。
• ウ「../」の混入を弾くのはディレクトリトラバーサル(パストラバーサル)対策で、SQLインジェクションとは別です。
• エ入力長制限はバッファオーバーフローやサービス拒否対策には有効ですが、SQLインジェクションの根本対策ではありません。