SQLインジェクションとは？

SQLインジェクションの意味

Webサイトの入力欄に不正なSQL文を混入させて送信し、データベースを不正に操作・閲覧・破壊する攻撃手法。入力値のチェック（サニタイジング）が不十分なWebアプリが狙われる。

SQLインジェクションの具体例

ログインフォームのID欄に特殊な文字列を入力することで、パスワードを知らなくても認証を突破されたり、データベースの内容を丸ごと盗み出されたりすることがある。

SQLインジェクションは試験でどう引っ掛けられる？

XSSとの区別が定番。狙いがデータベースの操作ならSQLインジェクション、閲覧者のブラウザでスクリプトを動かすならXSS。対策は入力値の検証やプレースホルダで、通信の暗号化や通常のファイアウォールでは防げない。

SQLインジェクションと関連する用語

• SQL

SQLインジェクションが出た過去問

• テザリングの説明として、適切なものはどれか。

  正解：スマートフォンなどの通信端末をモバイルルータのように利用して、PCなどをインターネットに接続する機能

  要点：テザリングはスマホを経由してPCをネット接続する機能

  テザリングは、スマートフォンなどの携帯回線を持つ端末を経由して、PCやタブレットをインターネットへ接続させる機能である。端末がモバイルルータの代わりを務める形で、Wi-Fi・USB・Bluetoothなどの方法で接続できる。他の選択肢はワーム、ディジタル署名、SQLインジェクションの説明であり、いずれも別の用語である。

  出典：平成27年度 春期 ITパスポート試験 問58（IPA）

• 情報システムに対する攻撃のうち，あるIDに対して所定の回数を超えてパスワードの入力を間違えたとき，当該IDの使用を停止させることが有効な防衛手段となるものはどれ…

  正解：総当たり攻撃

  要点：総当たり攻撃にはアカウントロックが有効

  総当たり攻撃は、考えられるパスワードを次々に試して正解を探す手口なので、誤入力が一定回数続いたらアカウントを停止する仕組みが有効に働く。DoS攻撃やSQLインジェクション、フィッシングは、いずれもパスワードの試行回数制限とは対策の性質が異なる。

  出典：平成28年度 秋期 ITパスポート試験 問83（IPA）

• SQLインジェクションの対策などで用いられ、処理の誤動作を招かないように、利用者がWebサイトに入力した内容に含まれる有害な文字列を無害な文字列に置き換えること…

  正解：サニタイジング

  要点：サニタイジングは特殊文字を無害化し不正な解釈を防ぐ

  サニタイジングは、利用者が入力した文字列のうち、プログラムやデータベースに特別な意味を持つ記号を無害な表現へ置き換える処理である。これにより入力がSQL文やHTMLの一部として解釈されるのを防ぎ、SQLインジェクションやクロスサイトスクリプティングを防げる。ストリーミングは配信方式、テザリングは端末経由の通信共有、リバースエンジニアリングは製品の解析技法である。

  出典：平成28年度 春期 ITパスポート試験 問64（IPA）

• セキュリティ対策として使用されるWAFの説明として、適切なものはどれか。

  正解：ECなどのWebサイトにおいて、Webアプリケーションソフトウェアの脆弱性を突いた攻撃からの防御や、不審なアクセスのパターンを検知する仕組み

  要点：WAFはWebアプリの脆弱性を突く攻撃を検知・遮断する

  WAFはWebアプリケーションに特化した防御の仕組みで、通信内容を検査してSQLインジェクションやクロスサイトスクリプティングなど脆弱性を突く攻撃を遮断し、不審なアクセスパターンを検知します。通信の宛先やポートだけを見る一般的なファイアウォールより上位の層を見る点が特徴です。

  出典：令和6年度 秋期 ITパスポート試験 問90（IPA）

• SQLインジェクションの対策などで用いられ、処理の誤動作を招かないように、利用者がWebサイトに入力した内容に含まれる有害な文字列を無害な文字列に置き換えること…

  正解：サニタイジング

  要点：サニタイジングは特別な意味を持つ文字を無害化する処理

  サニタイジングは、利用者が入力した文字列のうちプログラムに特別な意味を持つ記号を、無害な表現へ置き換える処理である。これによりSQL文やHTMLの構造が意図せず書き換えられることを防ぎ、SQLインジェクションやクロスサイトスクリプティングを抑止できる。入力値の検証と並ぶ基本的なWebアプリケーション対策である。

  出典：令和8年度 秋期 ITパスポート試験 問95（IPA）