セキュリティ
基本情報技術者試験 科目A免除 修了試験 20200726 実施分 問35
SQL インジェクション攻撃の説明として，適切なものはどれか。
- ア Web アプリケーションのデータ操作言語の呼出し方に不備がある場合に，攻撃者が悪意をもって構成した文字列を入力することによって，データベースのデータの不正な取得，改ざん及び削除をする攻撃
- イ Web サイトに対して，他のサイトを介して大量のパケットを送り付け，そのネットワークトラフィックを異常に高めてサービスを提供不能にする攻撃
- ウ 確保されているメモリ空間の下限又は上限を超えてデータの書込みと読出しを行うことによって，プログラムを異常終了させたりデータエリアに挿入された不正なコードを実行させたりする攻撃
- エ 攻撃者が罠を仕掛けた Web ページを利用者が閲覧し，当該ページ内のリンクをクリックしたときに，不正スクリプトを含む文字列が脆弱な Web サーバに送り込まれ，レスポンスに埋め込まれた不正スクリプトの実行によって，情報漏えいをもたらす攻撃
出典：基本情報技術者試験 科目A免除 修了試験 20200726 実施分 問35
答えと解説を見る
正解：ア
覚える知識
SQLインジェクションの定義
SQLインジェクションは、悪意ある入力でSQL文を改変しDBを不正操作する攻撃である。
この問題で必要なこと
SQLインジェクションは、入力欄に細工した文字列を与えてSQL文を意図せず組み立てさせ、DBを不正操作する攻撃。
ひっかけ
DDoS、バッファオーバフロー、反射型XSSの説明を混ぜる。
この知識の出題：本試験系 4 回・免除試験 5 回（公開問題での観測値）