平成22年度春期 システム監査技術者 午前Ⅰ 問15

入力値と処理の境界を見極める視点

この分野の設問では、外部から与えられる情報がどの処理段階に入り、想定された役割と異なる形で扱われる可能性があるかを、処理の流れに沿って整理すると考えやすくなります。

この問題で問われていること

確認する観点を、入力が受け取られてから内部の処理へ渡るまでの境界に絞り、前提となる扱われ方と、意図しない解釈が起こり得る箇所を落ち着いて丁寧に見比べてください。

視点

設問を読む際は、利用者側から渡される値と、それを受け取る側が期待しているデータの役割を分けて捉えます。値そのものだけでなく、どの段階で意味付けされるかに注目すると、検討の軸を保ちやすくなります。

確認ポイント

• 入力値がどの処理段階へ渡されるかを確認する
• 受け取る側が期待するデータの役割を整理する
• 値の意味付けが行われる境界に注目する

正解

ア

解説

正答はア。SQLインジェクションは、Webアプリケーションへの入力を利用してデータベースに対する問合せや操作の命令文を組み立て、情報の不正取得やデータ改ざんなどを行う攻撃です。

理由

SQLインジェクションでは、Webアプリケーションが受け取った入力データがデータベース操作に影響し、意図しない問合せや操作が実行される。その結果、データの改ざんや本来許可されていない情報の取得が発生する。

比較

イは別サイトで利用者の意図しない操作を行わせる攻撃で、クロスサイトリクエストフォージェリに該当する。ウはデータベースサーバへ自己伝染する攻撃であり、エは入力に埋め込んだスクリプトをブラウザで実行させるクロスサイトスクリプティングです。

選択肢ア（正解）

これは正解だよ。Webアプリケーションへの悪意のある入力によって、データベースへの問合せや操作を行う命令文が意図せず組み立てられる攻撃を説明している。データの改ざんや、本来許可されていない情報の取得につながる点もSQLインジェクションの特徴と一致する。

選択肢イ

これは不正解だよ。説明の中心は、悪意のあるスクリプトを含むWebページを利用者に閲覧させ、その利用者に別のWebサイトで意図しない操作をさせることにある。これはデータベースの命令文を不正に組み立てる攻撃ではなく、クロスサイトリクエストフォージェリの説明である。

選択肢ウ

これは不正解だよ。データベース管理システムの脆弱性を利用し、宿主となるサーバを探して自己伝染を繰り返し、インターネットのトラフィックを急増させる内容である。これはSQLインジェクションではなく、ネットワークを介して広がるワームなどの攻撃に関する説明である。

選択肢エ

これは不正解だよ。利用者の入力を画面に表示するWebサイトへ悪意のあるスクリプトを送り、訪問者のブラウザで実行させる内容である。データベースへの命令文を操作する攻撃ではなく、クロスサイトスクリプティングの説明に該当する。

学習のポイント

SQLインジェクションと、ブラウザを標的にするスクリプト攻撃の違いを整理する。