SQLインジェクションの対策として、有効なものはどれか。

選択肢

• アURLをWebページに出力するときは、“http://”や“https://”で始まるURLだけを許可する。
• イ外部からのパラメータでWebサーバ内のファイル名を直接指定しない。
• ウスタイルシートを任意のWebサイトから取り込めるようにしない。
• エプレースホルダを使って命令文を組み立てる。

正解と解説

正解：エ プレースホルダを使って命令文を組み立てる。

SQLインジェクションは、入力値がSQL文の一部として解釈されることで生じる。プレースホルダ（バインド機構（値を後から別に渡す仕組み））を使えば、値はあくまでパラメタとして渡され、SQL文の構造を変えられないため攻撃が成立しない。他の選択肢はオープンリダイレクトやディレクトリトラバーサルなど、別の脆弱性への対策である。

選択肢ごとの解説

• アURLのスキーム（http:やhttps:など先頭の種別）を制限する対策で、オープンリダイレクト対策にあたる。
• イ外部入力でファイル名を直接指定しないのはディレクトリトラバーサル対策である。
• ウ外部からのスタイルシート取込みを制限する対策で、SQLとは関係しない。
• エ値をSQL文の構造から切り離すプレースホルダの利用が、SQLインジェクションの根本対策。

この問題に出た用語

• SQLインジェクション
• ディレクトリトラバーサル
• サーバ
• 引数
• D2C（ダイレクト・トゥ・コンシューマ）
• URL
• HTTPS／TLS
• プレースホルダ（バインド機構）
• オープンリダイレクト

同じ分野の他の問題

• WAFの説明はどれか。2025年度 公開問題 科目A 問10
• ペネトレーションテストに該当するものはどれか。2024年度 公開問題 科目A 問9
• 図のような構成と通信サービスのシステムにおいて,Webアプリケーションの脆弱性対策のためのWAFの設置場所として,最も適…2023年度 公開問題 科目A 問10
• SQLインジェクション攻撃による被害を防ぐ方法はどれか。2018年度 春期 午前 問41
• マルウェアの動的解析に該当するものはどれか。2019年度 秋期 午前 問36