基本情報技術者試験 基本情報技術者試験 平成28年度 春期 午前 午前 問37: SQLインジェクション攻撃の説明として，適切なものはどれか。

正解

ア. Webアプリケーションのデータ操作言語の呼出し方に不備がある場合に，攻撃者が悪意をもって構成した文字列を入力することによって，データベースのデータの不正取得，改ざん及び削除をする攻撃

正答率 39.7%（1,255人中 498人が正解）

問題の解説

SQLインジェクションはWebアプリの入力検証不備を突き、悪意あるSQL断片を入力に混入してDBを不正操作する攻撃です。

選択肢ごとの解説

• アSQL文への文字列混入による不正DB操作=SQLインジェクションの定義。
• イこれは DDoS 攻撃の説明です。
• ウこれはバッファオーバーフローの説明です。
• エこれはクロスサイトスクリプティング(XSS)の説明です。