基本情報技術者 2017年 秋期 午前（科目A） 問39

SQLインジェクション攻撃の説明はどれか【午前2 解説】

要点まとめ

• 結論: SQLインジェクションは、Web入力欄やURLに不正なSQL文を注入してDBのデータを不正取得・改ざん・削除する攻撃手法です。
• 根拠: 設問文の「問合せや操作を行う命令文をWebサイトに入力して、データベースのデータを不正に取得したり改ざんしたりする」という記述がまさにSQL文注入を指します。
• 差がつくポイント: XSSやCSRFと混同しないこと。SQLiは「DBへ送る命令文を注入するか否か」を基準に見分けると確実です。

正解の理由

よくある誤解

• 「スクリプト実行＝すべてXSS」と誤認する受験者が多く、画面上でスクリプトを走らせる攻撃（XSS）とDBに命令文を注入する攻撃（SQLi）を混同しやすい点。
• SQLインジェクションは「データの閲覧だけ」の攻撃と考えがちだが、改ざん・削除やサーバ側でコマンド実行に繋がるケースもあるため軽視してはいけません。
• 「GETだけで起きる」と思い込む誤解。POSTやヘッダ、Cookie、JSONボディ等あらゆる入力箇所が対象になります。

解法ステップ

1. 設問文のキーワードを探す：「データベース」「問合せや操作を行う命令文」「入力して」「不正に取得」「改ざん」などを確認。
2. 攻撃分類と照合する：DBへ命令文を注入するか（SQLi）、別サイトで操作を強制するか（CSRF）、ブラウザでスクリプトを実行させるか（XSS）で判定。
3. 選択肢を絞る：DB操作が明示されている選択肢を正解とする。その他は用語（XSS/CSRF/ワーム等）と照らして除外。

選択肢別の誤答解説

• ア: 正解。Web入力にSQL文を注入してDBを不正操作するという説明はSQLインジェクションそのものです。
• イ: 誤り。別サイトで訪問者に意図しない操作を行わせる攻撃はCSRF（Cross-Site Request Forgery）です。悪意のあるスクリプトを埋め込む点があるが、CSRFは通常ユーザの認証情報を利用して「別サイトへリクエストを強制する」攻撃です。
• ウ: 誤り。市販DBMSの脆弱性を悪用して感染を広げトラフィックを増やすのはワームやボットネットの振る舞いで、SQLインジェクションの説明ではありません。
• エ: 誤り。訪問者のブラウザで悪意あるスクリプトを実行させる攻撃はXSS（Cross-Site Scripting）であり、DBへの命令注入を特徴とするSQLiとは異なります。

補足コラム

• プリペアドステートメント・パラメータ化クエリを利用してSQLとデータを分離する。
• 入力のホワイトリスト検証（型や長さ、許可文字のみ通す）。
• 最小権限のDBアカウントを使い、不要な権限は与えない。
• エラーメッセージに内部情報を出さない。ログ監視やWAFで異常なクエリを検出する。

# 悪い例：文字列連結でクエリを作る（SQLインジェクション脆弱）
user = "alice' OR '1'='1"
query = "SELECT * FROM users WHERE username = '" + user + "';"
cursor.execute(query)

# 良い例：パラメータ化クエリ（安全）
user = "alice' OR '1'='1"
query = "SELECT * FROM users WHERE username = ?;"
cursor.execute(query, (user,))