セキュリティ
基本情報技術者試験 科目A免除 修了試験 20191208 実施分 問39
Web アプリケーションにおけるセキュリティ上の脅威とその対策に関する記述のうち，適切なものはどれか。
- ア OS コマンドインジェクションを防ぐために，Web アプリケーションが発行するセッション ID に推測困難な乱数を使用する。
- イ SQL インジェクションを防ぐために，Web アプリケーション内でデータベースへの問合せを作成する際にプレースホルダを使用する。
- ウ クロスサイトスクリプティングを防ぐために，Web サーバ内のファイルを外部から直接参照できないようにする。
- エ セッションハイジャックを防ぐために，Web アプリケーションからシェルを起動できないようにする。
出典：基本情報技術者試験 科目A免除 修了試験 20191208 実施分 問39
答えと解説を見る
正解：イ
覚える知識
SQLインジェクション対策(プレースホルダ)
SQLインジェクション対策の基本は、入力値をSQL文に直接連結せずプレースホルダで渡すことである。
この問題で必要なこと
SQLインジェクションにはプレースホルダ（バインド機構）が有効。他の選択肢は脅威と対策が対応していない。
ひっかけ
脅威と対策の組合せを入れ替えた選択肢。
この知識の出題：本試験系 1 回・免除試験 8 回（公開問題での観測値）