セキュリティ
基本情報技術者試験 科目A免除 修了試験 20160124 実施分 問39
Web アプリケーションにおけるセキュリティ上の脅威と対策の適切な組合せはどれか。
- ア OS コマンドインジェクションを防ぐために，Web アプリケーションが発行するセッション ID を推測困難なものにする。
- イ SQL インジェクションを防ぐために，Web アプリケーション内でデータベースへの問合せを作成する際にバインド機構を使用する。
- ウ クロスサイトスクリプティングを防ぐために，外部から渡す入力データを Web サーバ内のファイル名として直接指定しない。
- エ セッションハイジャックを防ぐために，Web アプリケーションからシェルを起動できないようにする。
出典：基本情報技術者試験 科目A免除 修了試験 20160124 実施分 問39
答えと解説を見る
正解：イ
覚える知識
SQLインジェクション対策(プレースホルダ)
SQLインジェクション対策の基本は、入力値をSQL文に直接連結せず、バインド機構(プレースホルダ)で渡すことである。
この問題で必要なこと
SQLインジェクションは、バインド機構(プレースホルダ)の利用で防ぐ。
ひっかけ
OSコマンドインジェクション・セッションハイジャック・XSSの対策を取り違えた選択肢。
この知識の出題：本試験系 1 回・免除試験 8 回（公開問題での観測値）