平成29年度 秋期 午前 問39

✓ これが正解アWeb アプリケーションに問題があるとき，悪意のある問合せや操作を行う命令文を Web サイトに入力して，データベースのデータを不正に取得したり改ざんしたりする攻撃

解説

打ち込んだ文字を命令として読ませるので、蓄えを操られます。

打ち込んだ文字が、そのまま SQL に混ざる弱みを突きます。命令の一部として読ませることで、データベースを勝手に操作されます。取り出すことも、書き換えることもできてしまいます。だから命令文を入力して不正に取得すると述べた肢が当たりました。別の場で意図しない操作をさせる肢は、要求を偽る型の攻めです。訪れた人の権を借りて、こっそり実行させてしまいました。蓄えの機を探して感染を繰り返す肢は、広がる型の攻めになります。打ち込みをそのまま映す弱みを突く肢は、埋め込む型の攻めです。訪れた人の側で、悪い指図が動いてしまいます。三つとも、蓄えへの問い合わせに混ぜる攻めではありません。混ぜる先が、蓄えなのか場なのかで分かれました。混ぜる先で分かれました。蓄えが狙いです。混ぜる先が蓄えであることが、この攻めの芯です。

ほかの選択肢はなぜ違うのか

• イ悪意のあるスクリプトを埋め込んだ Web…：別の Web サイトで意図しない操作を行わせると述べています。訪れた人の権を借りて実行させる攻めでした。本人が気づかないうちに、操作が済んでしまいます。ところが蓄えへ混ぜてはいません。要求を偽る側でした。狙う先が違います。
• ウ市販されている DBMS の脆弱性を悪用…：DBMS の脆弱性を悪用して感染を繰り返すと述べています。蓄えの機を探して広がる型の攻めでした。通信が急に増えるので、外からも見えます。けれども打ち込みから入ってはいません。広がる側の攻めでした。入り口が違います。
• エ訪問者の入力データをそのまま画面に表示す…：入力データをそのまま画面に表示する Web サイトを悪用すると述べています。訪れた人の側で、悪い指図を動かす攻めでした。打ち込みを使う点は、確かによく似ています。ところが混ぜる先が場のほうです。蓄えではありません。届く先が別です。