資格暗記無料で始める

LDAPインジェクションとは？

LDAPインジェクションとは、ディレクトリサービスへの検索フィルタを文字列連結で組み立てる実装に対し、フィルタの構文記号を送り込んで条件を改変する攻撃。認証の条件式を常に真にして他人になりすましたり、本来見えない属性を列挙したりできる。

えるだっぷいんじぇくしょん

情報処理安全確保支援士試験の頻出用語／午前II

LDAPインジェクションの意味

ディレクトリサービスへの検索フィルタを文字列連結で組み立てる実装に対し、フィルタの構文記号を送り込んで条件を改変する攻撃。認証の条件式を常に真にして他人になりすましたり、本来見えない属性を列挙したりできる。

LDAPインジェクションの具体例

利用者名の欄に「*」やカッコと論理演算子を含む値を入れ、フィルタを「利用者が存在すれば真」に変形させてログインを通す。社員検索機能では条件を書き換えて、部署や役職といった非公開属性を含む全件を引き出す使われ方をする。

LDAPインジェクションは試験でどう引っ掛けられる？

SQLと記号体系が違うため、SQL向けのエスケープ処理を流用しても防げない。丸カッコ、アスタリスク、円記号、NUL文字などLDAP固有の特別文字を、その文法に沿って処理する必要がある。認証はバインド操作で行うのが原則。

LDAPインジェクションと関連する用語

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。