平成26年度 秋期 応用情報技術者 問40

正解 イ

SQLインジェクションの対策は、バインド機構（プレースホルダ）を使って問合せを組み立てることです。

SQLインジェクションは、入力値にSQL文の一部を混ぜ込み、意図しないデータベース操作をさせる攻撃です。バインド機構を使うと、SQL文の構造が先に確定します。そのため、入力値は単なるデータとして扱われ、SQL文として解釈されません。ほかの選択肢は、脅威と対策の組合せが入れ替わっています。

ア：セッションIDを推測困難にするのは、セッションハイジャックの対策です。OSコマンドインジェクションは防げません。

ウ：入力データをファイル名として直接指定しないのは、ディレクトリトラバーサルの対策です。クロスサイトスクリプティングの対策は、出力時のエスケープ処理です。

エ：シェルを起動できないようにするのは、OSコマンドインジェクションの対策です。セッションハイジャックには、セッションIDの推測困難化などで対策します。

出典：平成26年度 秋期 応用情報技術者試験 問40