IT資格用語解説情報処理安全確保支援士試験・Webアプリケーション・インジェクション攻撃

インジェクション攻撃

更新日:

用語解説

インジェクション攻撃は、外部からの入力が、データではなくSQLやOSのコマンドなどの命令として解釈され、意図しない処理を実行させられる攻撃です。

■ 試験で押さえるポイント

  • SQLインジェクションは、入力をSQL文に連結する作りで起こり、プレースホルダで防ぎます。

  • OSコマンドインジェクションは、入力をシェルに渡す作りで起こり、シェルを使わない安全な方法で防ぎます。

  • HTTPヘッダインジェクションは、改行の文字でヘッダの構造を壊す攻撃です。

■ 過去問での着眼点

根本の対策は、命令と外部からの入力を構造的に分けることです。WAFは補助の対策です。

例: 検索の値をプレースホルダで渡せば、入力に引用符が含まれていても、命令ではなく値として扱われます。

音声で聞く

この用語に関連する過去問

同じ分野の用語

IT用語集トップへ戻る情報処理安全確保支援士試験の教科書を開く