SQLインジェクションとは

定義

Webアプリの入力欄に悪意あるSQL断片を混入させ、想定外のSQLをデータベースで実行させてデータの不正取得や改ざんを行う攻撃。対策はプリペアドステートメントやエスケープ処理など、入力値をSQL構文として解釈させない手法の徹底が基本。

ITパスポート・基本情報での出題ポイント

ITパスポートと情報セキュリティマネジメントでは、攻撃手法、対策、リスク評価、運用管理の対応関係がよく問われます。用語を単体で覚えるより、何を守る対策か、どの脅威に効くか、技術対策か管理策かを整理してください。

よく問われるパターン

• 攻撃手法に対して有効な対策を選ぶ。
• 機密性・完全性・可用性のどれを守る話かを判断する。
• リスク分析、脆弱性診断、運用監視など管理プロセス上の位置付けを問う。

関連する過去問

• ITパスポート 2026年 (令和8年) 問70SQLインジェクション攻撃の説明として,最も適切なものはどれか。関連: SQLインジェクション
• ITパスポート 2023年 (令和5年) 問58Webサイトなどに不正なソフトウェアを潜ませておき,PCやスマートフォンなどのWebブラウザからこのサイトにアクセス...関連: SQLインジェクション
• ITパスポート 2022年 (令和4年) 問95攻撃対象とは別のWebサイトから盗み出すなどによって,不正に取得した大量の認証情報を流用し,標的とするWebサイトに...関連: SQLインジェクション
• ITパスポート 2021年 (令和3年) 問56インターネットにおいてドメイン名とIPアドレスの対応付けを行うサービスを提供しているサーバに保管されている管理情報を...関連: SQLインジェクション
• ITパスポート 2020年 (令和2年 10月) 問56HTML形式の電子メールの特徴を悪用する攻撃はどれか。関連: SQLインジェクション
• ITパスポート 2020年 (令和2年 10月) 問58受信した電子メールに添付されていた文書ファイルを開いたところ,PCの挙動がおかしくなった。疑われる攻撃として,適切な...関連: SQLインジェクション
• ITパスポート 2018年 (平成30年 秋期) 問60オンラインバンキングにおいて,マルウェアなどでブラウザを乗っ取り,正式な取引画面の間に不正な画面を介在させ,振込先の...関連: SQLインジェクション
• 基本情報技術者 令和6年度 科目A 問10SQLインジェクションの対策として，有効なものはどれか。関連: SQLインジェクション

関連用語(セキュリティ)

• IDSあいでぃーえす
• アクセス管理あくせすかんり
• SEOポイズニングえすいーおーぽいずにんぐ
• MDMえむでぃーえむ
• オープンリレーおーぷんりれー
• オプトアウトおぷとあうと

間違えやすい用語との違い

SQLインジェクションと同じ「セキュリティ」の用語では、IDS、アクセス管理、SEOポイズニングなどが近い文脈で問われます。守る対象、攻撃者の手口、検知か防御か、技術的対策か組織的対策かで比較してください。