平成22年度 春期 午前 問43

✓ これが正解アWeb アプリケーションに悪意のある入力データを与えてデータベースの問合せや操作を行う命令文を組み立てて，データを改ざんしたり不正に情報取得したりする攻撃

解説

入力が命令文に化けてデータベースを操られる攻撃です。

攻撃の名前を尋ねる設問は、被害の大きさや手口の派手さではなく、何が注入され、それがどこで動くのか、という二点だけで決まります。この二点を先に決めてから説明文を読むと、似た書き出しに惑わされません。SQL インジェクションは、利用者が入れた文字列が、そのままデータベースへの命令文の一部として連結されてしまう作りを突く攻撃です。入力に命令文の区切りを混ぜると、本来ひとつの条件だったはずのものが別の意味をもつ命令へ化けます。動く場所はデータベースを預かるサーバであり、その結果としてデータを書き換えられたり、本来見せるはずのない情報を取り出されたりします。正解は、悪意のある入力から問合せや操作の命令文を組み立てさせる、と述べた説明です。要点は、データのつもりで渡した入力が命令として読まれることにあります。だから備えも、入力を目で見て弾くことではなく、値と命令をあらかじめ別々に扱う仕組みを使って、混ざりようのない形にすることが中心になります。

ほかの選択肢はなぜ違うのか

• イ悪意のあるスクリプトが埋め込まれた We…：閲覧させたうえで、別のサイトで本人の意図しない操作をさせる手口です。仕掛けが働く先は利用者がログイン済みの他のサイトなので、狙われる場所そのものが異なります。
• ウ市販されているデータベース管理システムの…：管理システムの弱点を突いて宿主となるサーバを探し、自ら増え広がって通信量を急増させるものです。人手を介さず増える不正プログラムの説明で、特定の相手を狙う話ですらありません。
• エ訪問者の入力データをそのまま画面に表示す…：入力をそのまま画面に出す作りを悪用し、仕込んだ命令の断片を訪問者のブラウザで動かす手口は、クロスサイトスクリプティングと呼ばれます。実行されるのは被害者の手元です。