セキュリティ
基本情報技術者試験 科目A免除 修了試験 20220612 実施分 問41
Webアプリケーションにおけるセキュリティ上の脅威とその対策に関する記述のうち，適切なものはどれか。
- ア OSコマンドインジェクションを防ぐために，Webアプリケーションが発行するセッションIDに推測困難な乱数を使用する。
- イ SQLインジェクションを防ぐために，Webアプリケーション内でデータベースへの問合せを作成する際にプレースホルダを使用する。
- ウ クロスサイトスクリプティングを防ぐために，Webサーバ内のファイルを外部から直接参照できないようにする。
- エ セッションハイジャックを防ぐために，Webアプリケーションからシェルを起動できないようにする。
出典：基本情報技術者試験 科目A免除 修了試験 20220612 実施分 問41
答えと解説を見る
正解：イ
覚える知識
SQLインジェクション対策(プレースホルダ)
プレースホルダは、SQL文とパラメータを分離して入力値をSQLとして解釈させない対策である。
この問題で必要なこと
SQLインジェクション対策には、プレースホルダ(バインド機構)を使ってSQL文を組み立てる。
ひっかけ
他の攻撃(OSコマンドインジェクション、XSS、セッションハイジャック)と対策を入れ替えて混同させる。
この知識の出題：本試験系 1 回・免除試験 8 回（公開問題での観測値）