基本情報技術者試験 基本情報技術者試験 平成29年度 秋期 午前 午前 問39: SQLインジェクション攻撃の説明はどれか。

正解

ア. Webアプリケーションに問題があるとき，悪意のある問合せや操作を行う命令文をWebサイトに入力して，データベースのデータを不正に取得したり改ざんしたりする攻撃

正答率 42.2%（460人中 194人が正解）

問題の解説

SQLインジェクションは入力値検証不備のWebアプリに悪意あるSQL文断片を送り込み、DBの不正アクセス/改ざんを行う攻撃です。

選択肢ごとの解説

• アSQL命令注入でDB不正操作=SQLインジェクションの定義。
• イこれはCSRF/XSS系の説明。
• ウこれはSQL Slammer 等のワーム攻撃の説明。
• エこれは反射型XSSの説明。