セキュリティ
基本情報技術者試験 科目A免除 修了試験 200907 実施分 問44
Web アプリケーションの脅威とそのセキュリティ対策の適切な組合せはどれか。
- ア OS コマンドインジェクションを防ぐために，Web アプリケーションが発行するセッション ID を推測困難なものにする。
- イ SQL インジェクションを防ぐために，Web アプリケーション内で問合せを作成する際にバインド機構を使用する。
- ウ クロスサイトスクリプティングを防ぐために，外部から渡す入力データに Web サーバ内のファイル名を直接指定しない。
- エ セッションハイジャックを防ぐために，Web アプリケーションからシェルを起動できないようにする。
出典：基本情報技術者試験 科目A免除 修了試験 200907 実施分 問44
答えと解説を見る
正解：イ
覚える知識
SQLインジェクション対策(プレースホルダ)
SQLインジェクション対策には、プレースホルダ(バインド機構)でSQL文と値を分離する。
この問題で必要なこと
SQLインジェクションにはバインド機構(プレースホルダ)で問合せを組み立てる対策が有効。
ひっかけ
他の攻撃(OSコマンドインジェクション、XSS、セッションハイジャック)の対策との組合せ違い。
この知識の出題：本試験系 1 回・免除試験 8 回（公開問題での観測値）