基本情報技術者 2012年 秋期 午前（科目A） 問40

SQLインジェクションの説明はどれか。【午前2 解説】

要点まとめ

• 結論: SQLインジェクションはユーザ入力に悪意あるSQL文を挿入してDBのデータを改ざん・不正取得する攻撃です。
• 根拠: 問題文のアは「データベースに悪意のある問合せや操作を行う命令文を入力」と明確にDB操作を攻撃対象としています。
• 差がつくポイント: XSSやCSRFと混同しやすいので「ターゲットがDBかブラウザか」を見分けて解答することが重要です。

正解の理由

よくある誤解

• XSSと混同する: XSSは主にブラウザ上でスクリプトを実行させる攻撃で、ターゲットが「ユーザのブラウザ」です。DBへの直接攻撃ではありません。
• CSRFと勘違いする: CSRFは利用者の認証済みセッションを悪用して別サイト上で不正操作をさせるもので、攻撃経路が異なります。
• 「DBの脆弱性を使って自己伝染する」はワーム等の挙動であり、SQLインジェクションの説明ではありません。

解法ステップ

1. 各選択肢の主語・目的語を確認し、攻撃対象が「データベースかブラウザか他のサーバか」を判別する。
2. 「問合せ」「SQL」「データベース」「取得」「改ざん」といったキーワードを含む選択肢を優先して検討する。
3. 残った選択肢をXSS（ブラウザ上でスクリプト実行）やCSRF（ユーザ認証を悪用したリクエスト）など既知の攻撃と照合して除外する。

選択肢別の誤答解説

• ア: 正解。DBに対して悪意ある問い合わせや操作を行わせる説明で、SQLインジェクションそのものを表現しています。
• イ: 説明は「別のWebサイトで訪問者が意図しない操作を行わせる」とあり、これはCSRF（クロスサイトリクエストフォージェリ）に該当します。XSSの要素を含む記述と混ざっているが主旨はCSRFです。
• ウ: 「DBMSの脆弱性を利用して自己伝染を繰り返す」とあり、ワームやウイルスの挙動を述べておりSQLインジェクションの説明ではありません。
• エ: 「入力データをそのまま画面に表示してブラウザで実行させる」とあるため、これはXSS（クロスサイトスクリプティング）の説明です。

補足コラム

import sqlite3
conn = sqlite3.connect(":memory:")
cur = conn.cursor()
# 悪い例: 文字列連結でSQLを作るとSQLインジェクションの危険
username = "' OR '1'='1"
sql_bad = "SELECT * FROM users WHERE username = '%s';" % username

# 良い例: パラメータ化クエリを使う
sql_good = "SELECT * FROM users WHERE username = ?;"
cur.execute(sql_good, (username,))
rows = cur.fetchall()

FAQ