令和元年度 秋期 午前Ⅱ 問17

✓ これが正解エプレースホルダを利用する。 ／ Web アプリケーションプログラムが利用するデータベースのアカウントがもつデータベースアクセス権限を必要最小限にする。

解説

プレースホルダの利用とDB権限の最小化がともに適切な対策です。

SQL インジェクションは、入力値に SQL の一部を紛れ込ませて、データベースに意図しない命令を実行させる攻撃です。実装での根本的な対策は、プレースホルダを利用して SQL の構造を先に固定し、入力値を値としてだけ扱わせることです。実装以外の対策としては、Web アプリケーションプログラムが使うデータベースのアカウントの権限を必要最小限にしておくことが挙げられます。仮に攻撃が成立しても、できる操作が限られるので被害を小さくできます。表の各行は、それぞれ別の脆弱性に対する対策の組になっています。見分ける軸は、行ごとに何の攻撃への対策かを名付けることです。

ほかの選択肢はなぜ違うのか

• アWeb アプリケーションプログラム中でシ…：シェルを起動しないことと chroot 環境で Web サーバを動かすことは、OS コマンドインジェクションへの対策の組です。どちらも OS の命令を実行させる攻撃に備えるもので、SQL の対策ではありません。
• イセッション ID を乱数で生成する。 ／…：セッション ID を乱数で作ることと TLS で通信を秘匿することは、セッションの推測や盗聴への対策です。セッションを乗っ取られないための組で、SQL を不正に組み立てられる問題には効きません。
• ウパス名やファイル名をパラメタとして受け取…：パス名やファイル名をパラメタで受け取らないことと重要なファイルを公開領域に置かないことは、ディレクトリトラバーサルへの対策の組です。ファイルへの不正なアクセスを防ぐもので、SQL は関係しません。