ITパスポート 予想問題｜SQLインジェクション 第3回 第60問

解説

SQLインジェクションは、Webアプリの入力欄に不正なSQL文の断片を入力し、データベースを不正に操作する攻撃である。最も効果的な対策はプレースホルダ（バインド機構）を用いたSQL文の組み立てであり、入力値が常に単なるデータとして扱われるためSQL文の構造を改変できなくなる。よって「プレースホルダ（バインド機構）を使用したSQL文の組み立て」が正解である。ファイアウォールは通信の許可・遮断を行うがアプリ層の正規リクエストに偽装した攻撃は防げず、ウイルス対策ソフトはマルウェア対策、SSL/TLSは盗聴対策であり、いずれもSQLインジェクションの直接の対策にならない。「攻撃名と対策の正しい組合せ」は頻出であり、エスケープ処理も併せて覚えたい。