Webアプリケーションの脆弱性（基礎の分類）とは？
Webアプリケーションの脆弱性（基礎の分類）とは、SQLインジェクション（入力欄から不正なSQL文を混入させデータベースを不正操作する）、クロスサイトスクリプティング（不正なスクリプトを埋め込み他の利用者のブラウザで実行させる）といった、Webアプリケーション特有の脆弱性を突く攻撃の分類。応用情報ではこの基礎の上に、CSRF・クリックジャッキング・バッファオーバーフローなど関連する高度な攻撃手法とその対策（入力値検証、WAF導入など）が問われる。
情報処理安全確保支援士試験の過去問では2回出題されています（2017年度〜2018年度）。
うぇぶあぷりけーしょんのぜいじゃくせい
Webアプリケーションの脆弱性（基礎の分類）の意味
SQLインジェクション（入力欄から不正なSQL文を混入させデータベースを不正操作する）、クロスサイトスクリプティング（不正なスクリプトを埋め込み他の利用者のブラウザで実行させる）といった、Webアプリケーション特有の脆弱性を突く攻撃の分類。応用情報ではこの基礎の上に、CSRF・クリックジャッキング・バッファオーバーフローなど関連する高度な攻撃手法とその対策（入力値検証、WAF導入など）が問われる。
Webアプリケーションの脆弱性（基礎の分類）の具体例
ログインフォームの入力チェックが甘いと、SQLインジェクションによってパスワードを知らなくても認証を突破されるおそれがある。
Webアプリケーションの脆弱性（基礎の分類）は試験でどう引っ掛けられる？
被害の当たる先が違う。SQLインジェクションはサーバ側のデータベースが直接狙われるが、クロスサイトスクリプティングで害を受けるのは、そのサイトを閲覧した別の利用者のブラウザ。「自社のサーバが壊れないから軽微」は誤り。対策も別で、SQLインジェクションはプレースホルダ（バインド機構）を使ったSQLの組み立て、XSSは出力時のエスケープが根本対策。入力値のチェックやWAFはいずれも補助であって、根本対策の代替にはならない。
Webアプリケーションの脆弱性（基礎の分類）が出た過去問
Webアプリケーションの脆弱性を悪用する攻撃手法のうち，Webページ上で入力した文字列がPerlのsystem関数やPHPのexec関数などに渡されることを利用…
要点：入力がシェル経由で実行されるのがOSコマンド注入
外部から受け取った文字列を、シェルを介してコマンドを実行する関数へそのまま渡すと、区切り文字を混ぜることで任意のコマンドを実行されます。これがOSコマンドインジェクションです。対策はシェルを経由する関数を使わない、あるいは値を厳密に検証・エスケープすることです。
出典：平成29年度 春期 情報処理安全確保支援士試験 am2 問12（IPA）Webアプリケーションの脆弱性を悪用する攻撃手法のうち,Webページ上で入力した文字列がPerlのsystem関数やPHPのexec関数などに渡されることを利用…
正解：OSコマンドインジェクション
要点：入力がシェルで実行されるのがOSコマンド注入
受け取った文字列を検証せずにシェル経由でコマンドを実行する関数へ渡すと、区切り文字を混ぜることで任意のコマンドを実行されます。これがOSコマンドインジェクションです。シェルを使う関数を避ける、値を厳密に検証するといった対策が必要です。
出典：平成30年度 秋期 情報処理安全確保支援士試験 am2 問13（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。