平成21年度 秋期 午前Ⅱ 問4

✓ これが正解ウ入力文字列をエスケープ処理して特殊文字を無効にする。

解説

入力文字列の特殊文字をエスケープ処理して無効にします。

SQLインジェクションは、入力欄に SQL の一部として働く文字を紛れ込ませ、アプリケーションが組み立てる SQL 文の意味を書き換えてしまう攻撃です。対策の軸は、入力された文字がSQL文の構造として解釈されないようにすることです。引用符のように SQL で特別な意味をもつ文字をエスケープ処理すれば、それらはただの文字として扱われ、攻撃者が文の構造を変えることはできなくなります。送信方法を変えること、認証すること、通信を暗号化することは、どれも入力値そのものの解釈には手を付けません。攻撃がどこで成立するかを考え、SQL文を組み立てる箇所で手を打つものを選ぶと見分けられます。

ほかの選択肢はなぜ違うのか

• ア入力データを送るときには，GETメソッド…：POSTメソッドに変えても、入力データがサーバに届き SQL 文の組立てに使われる点は同じです。URLに値が表示されなくなるだけで、攻撃者は送信内容を自由に作れるので、特殊文字を含む入力はそのまま処理されます。
• イ入力データを送る前に，利用者認証を行う。：利用者認証は、誰が使っているかを確かめる仕組みです。認証を通った利用者が悪意のある文字列を入力すれば、SQL文は同じように書き換えられてしまうため、入力値の扱いを改める対策にはなりません。
• エプロトコルにHTTPSを使用してデータを…：HTTPSは通信路を暗号化して盗聴や改ざんを防ぐものです。サーバに届いた時点で入力は元の文字列に戻り、そのまま SQL 文に組み込まれるので、SQLインジェクションを防ぐ効果はありません。