ITパスポート 一問一答｜SQLインジェクション攻撃 第48問

解説

SQLインジェクションは、Webアプリケーションの入力フォームやURLパラメータに不正なSQL文の断片を注入（インジェクション）し、開発者の意図しないSQLを実行させてデータベースを不正に操作する攻撃です。成功すると、ログインの回避、個人情報など大量データの窃取、データの改ざん・削除といった深刻な被害につながります。対策としては、入力値をSQL文の構造と分離して扱うプレースホルダ（バインド変数）の使用が最も有効で、入力値のエスケープ処理も併用されます。名前の似た攻撃と混同しないことが重要です。Webサイトに悪意のあるスクリプトを埋め込み閲覧者のブラウザで実行させるのはクロスサイトスクリプティング（XSS）、パスワードを総当たりで試すのはブルートフォース攻撃、偽サイトへ誘導して情報を盗むのはフィッシングです。「狙いがデータベースならSQLインジェクション」と覚えましょう。