平成27年度 春期 午前 問42

✓ これが正解アWeb アプリケーションに問題があるとき，悪意のある問合せや操作を行う命令文を入力して，データベースのデータを不正に取得したり改ざんしたりする攻撃

解説

データベースへの不正な問合せを混ぜる攻撃です。

SQL インジェクションを見分けるときの軸は二つあります。一つは攻撃の入口で、Web アプリケーションの入力欄にどんな文字列を差し込むかという点です。もう一つは攻撃の狙う先で、背後にあるデータベースの中身が読まれたり書き換えられたりする点です。この二つがそろって初めてこの攻撃と呼べます。正解にあたる説明は、命令文を入力してデータベースのデータを取り出したり改ざんしたりする経路をそのまま述べており、入口と狙う先の両方が合致します。他の攻撃は入口も狙う先もどこかがずれるので、この軸で切り分けられます。

ほかの選択肢はなぜ違うのか

• イ悪意のあるスクリプトを埋め込んだ Web…：悪意のあるスクリプトを埋め込んだ Web ページを訪問者に閲覧させ、別の Web サイトで意図しない操作を行わせるという説明です。狙いはデータベースの中身ではなく、訪問者のブラウザから別サイトへ働きかける動作で、入口と狙う先の両方が別種類の攻撃を指しています。
• ウ市販されている DBMS の脆弱性を利用…：市販の DBMS の脆弱性を利用して宿主となるデータベースサーバを探し、自己伝染を繰り返してトラフィックを急増させるという説明です。中身を狙って改ざんするのではなく、自身を複製して広がる別種の脅威を述べており、入口の性質から異なります。
• エ訪問者の入力データをそのまま画面に表示す…：訪問者の入力データをそのまま画面に表示する Web サイトに悪意のあるスクリプトを埋め込み、訪問者のブラウザで実行させるという説明です。狙う先は訪問者側の画面の挙動であり、背後のデータベースを直接いじる仕組みではありません。