情報処理安全確保支援士 2016年 春期 午前2 問21

SQLインジェクション【午前2解説】

正解の理由

WHERE ユーザ名 = '' OR '--' = '--';

解法ステップ

1. 元のSQLの構造を確認する（パラメタはシングルクォートで囲まれている）。
2. 各選択肢をそのまま代入してSQLがどのように展開されるかを文字列として書き出す。
3. 展開後のWHERE条件が論理的に常に真になるかを判定する（例：恒真式 OR TRUE）。
4. コメント記号（--）が文字列リテラル内か外かを区別し、コメント化されるかどうか確認する。

選択肢別の誤答解説

• ア
  展開例: WHERE ユーザ名 = '' OR '--' = '--';
  解説: 最初の ' で元のリテラルが閉じられ、その後 OR '--' = '--' が有効な論理式になる。'--' はクォート内の文字列なのでコメント扱いにならず、比較は TRUE になるため全行取得。
• イ
  展開例: WHERE ユーザ名 = '' OR ユーザ名 = 'ユーザ名';
  解説: この式は「ユーザ名が空文字」または「ユーザ名が文字列'ユーザ名'である」場合に真となる。一般的なデータでは全行が必ず真になるとは限らないため、全行取得は保証されない。
• ウ
  展開例（読み取り方による）:
  • 入力が先頭にクォートを含む場合、WHERE ユーザ名 = ''-- OR 1 = 1'; のようにクォート不整合や文字列リテラル内の -- になるためコメント化されない。
  • コメント化させたい場合は -- がクォート外に出ていなければならない。提示の形式では正しくクォートを閉じつつ -- をコメント化する構造になっていないため、期待する「コメントで残りを無視して OR 1=1 を有効化」が成立しない。結果として安全でもしくは構文エラーになる可能性が高い。
• エ
  展開例（例示）: WHERE ユーザ名 = '¥' OR 1 = 1 ' ;--';（表記が不揃いでDB依存）
  解説: ¥（円マーク）や不揃いなクォート、末尾の ;-- を混在させたこの入力は、多くの場合クォートの不整合や構文エラーを引き起こす。さらに ; はSQL文の終端とされるため、その扱いはDBや実行環境に依存する（追加文が分離される等）。したがって確実に全行を返すとは言えない。

よくある誤解

• コメント記号 -- は見えれば常にコメントになる
  → 誤り。-- がコメントとして機能するのはクォート（文字列リテラル）の外側にある場合のみ。クォート内は単なる文字列であり、コメントにはならない。
• セミコロン ; を入力すれば必ず追加入力でSQLを分割できる
  → 環境依存。多くのSQL実行環境やAPIでは複数ステートメントを許可しない設定がある。さらに問題文で「; は SQL文の終端として解釈される」とある場合はそもそもそれ以降は別文扱いになり、狙いが変わる。
• 単に OR 1=1 を入れれば必ず全件取得できる
  → 重要なのはその OR 1=1 をSQLの式として実行させるために、まず外側のクォートを適切に閉じること。クォートを閉じられなければ文字列扱いになり効果がない。

補足コラム

• プレースホルダやプリペアドステートメントを使ってパラメタ化する（推奨）。これにより入力は常に値として扱われ、クォートの破壊が起きない。
• 入力のエスケープ（SQLエンジン依存だが、単独エスケープはミスを生みやすい）。
• 最小権限のDBユーザ運用や複数ステートメントの禁止設定。

# 悪い例（文字列連結、脆弱）
sql = "SELECT ID, ユーザ名, メールアドレス FROM アカウント WHERE ユーザ名 = '" + user_input + "';"

# 良い例（パラメタ化）
cur.execute("SELECT ID, ユーザ名, メールアドレス FROM アカウント WHERE ユーザ名 = %s;", (user_input,))

FAQ