基本情報技術者 2015年 春期 午前（科目A） 問42

SQLインジェクション攻撃【午前解説】

正解の理由

解法ステップ

1. 問題文のキーワードを確認：「データベース」「問合せ」「命令文」「不正に取得・改ざん」などがSQLインジェクションの指標です。
2. 各選択肢の攻撃対象と手法を比較：ブラウザ上でスクリプトが実行されるか、別サイトへのリクエストを強制するか、データベースに直接命令を送るかを見分けます。
3. SQLインジェクションは「入力によりSQL文の意味を変える」攻撃であることを基準に選びます。

選択肢別の誤答解説

• ア: 正解。Webアプリの入力を通じて不正なSQL文を注入し、データベースを不正操作する攻撃であり、定義に合致します。
• イ: 不正なスクリプトを埋めたページで訪問者が別サイトで意図しない操作を起こす、これはCSRF（クロスサイトリクエストフォージェリ）やスクリプト誘導を示す説明であり、SQLインジェクションではありません。
• ウ: 市販DBMSの脆弱性を利用して自己伝染するのはワームや自動伝播マルウェアの説明で、SQL文注入とは別の脅威です。
• エ: 訪問者の入力データをそのまま表示してブラウザで悪意あるスクリプトを実行させるのはXSS（クロスサイトスクリプティング）の説明で、SQLインジェクションとは手法も影響範囲も異なります。

よくある誤解

• 「スクリプトを埋め込む＝SQLインジェクション」と混同する誤解。スクリプト埋め込みはXSS（クロスサイトスクリプティング）に該当します。
• 「SQLインジェクションは読むだけの被害に限られる」と考える誤解。データの改ざんや管理者権限取得、サービス停止へ拡大することがあります。
• 「クライアント側での入力チェックだけで十分」と考える誤解。必ずサーバ側での厳格な検証やパラメータ化が必要です。

補足コラム

• パラメータ化クエリ（プレースホルダ）／プリペアドステートメントを常用する。
• 入力のホワイトリスト検証と長さ・型チェックを行う。
• DB接続に最小権限のアカウントを使用する（SELECTだけで良いならINSERT/UPDATE権限を与えない）。
• 詳細なエラーメッセージは出力しない、ログは監視する。
• WAF（Web Application Firewall）や静的解析・動的解析で脆弱箇所を検出する。

import sqlite3

conn = sqlite3.connect('example.db')
cur = conn.cursor()

# 悪い例（文字列連結でSQL文を組み立てると注入される）
# cur.execute("SELECT * FROM users WHERE name = '%s'" % user_input)

# 良い例（パラメータ化）
cur.execute("SELECT * FROM users WHERE name = ?", (user_input,))
rows = cur.fetchall()

FAQ