LDAPインジェクションとは？えるだっぷいんじぇくしょん
LDAPインジェクションとは、ディレクトリサービスへの検索フィルタを文字列連結で組み立てる実装に対し、フィルタの構文記号を送り込んで条件を改変する攻撃。認証の条件式を常に真にして他人になりすましたり、本来見えない属性を列挙したりできる。
最終更新：2026-10-06
情報処理安全確保支援士を最短で暗記・合格する →具体例
利用者名の欄に「*」やカッコと論理演算子を含む値を入れ、フィルタを「利用者が存在すれば真」に変形させてログインを通す。社員検索機能では条件を書き換えて、部署や役職といった非公開属性を含む全件を引き出す使われ方をする。
試験での引っ掛け
SQLと記号体系が違うため、SQL向けのエスケープ処理を流用しても防げない。丸カッコ、アスタリスク、円記号、NUL文字などLDAP固有の特別文字を、その文法に沿って処理する必要がある。認証はバインド操作で行うのが原則。
関連用語
出典・参考
解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。