平成28年度春期 情報処理安全確保支援士 午前Ⅱ 問21

午前II 問21：SQL文に入り込む“ずるい入力”を見抜こう

文字列をそのままSQLにくっつけてしまうと、入力欄に`' OR 1=1`のような文字を入れられたときに、WHERE条件が「いつでも真」になってしまうよ。たとえるなら、受付で合言葉を確認するはずが、「全員通してOK」という紙を勝手に差し込まれるようなもの。その結果、アカウント表の全行が取得されてしまうんだ。

この問題で問われていること

ポイントは、どの入力が本来の検索条件を壊して、全件取得につながるSQLインジェクションになるかを見抜けるかだよ。

SQL Injection Causing Full-Table Return

without escaping、 an input like quote-or-true can break the WHERE clause and make the query return every row

unescaped concatenation\nclose string literal\nadd OR 1=1\nall rows returned

確認ポイント

• 文字列終端を意識する。
• OR 1=1 で全件化する。
• プレースホルダを使っていない点を見る。

正解

ア

出典

問題文と解答は IPA 公開の過去問題冊子・解答例を基にしています。

選択肢ア（正解）

これは正解だよ。入力すると、条件が「ユーザ名が空っぽ」または「'--' と '--' が同じ」という形になるんだ。後半は、合鍵の形を見ずに「この鍵はこの鍵と同じですか？」と聞いているようなもので、必ずYESになる。だから全員分の行が取れてしまうよ。

選択肢イ

これは不正解だよ。先頭の「'--」で、その後ろの「OR 1=1」をコメント扱いにしてしまう形になる。つまり、せっかく泥棒が『全員通して』と言おうとしたのに、窓口に届く前にメモ扱いで無視される感じだよ。残る条件はほぼ「ユーザ名が空かどうか」なので、全行取得にはならないよ。

選択肢ウ

これは不正解だよ。見た目はSQLをだまそうとしているけど、結果は「ユーザ名が空」または「ユーザ名が文字列の'ユーザ名'と同じ」という条件になるだけ。名札に本当に「ユーザ名」と書いてある人を探すようなものなので、表のTARO JOHOなど全員には当たらないよ。

選択肢エ

これは不正解だよ。「OR 1=1」で全部通したい意図は見えるけど、引用符やセミコロンの並びがうまくSQL文として成立しない。受付に強引な指示を書いた紙を出しても、文の区切りがぐちゃぐちゃで読めない状態なので、全行を正しく取得する形にはならないよ。