【伝送交換主任技術者】過去問準拠 予想演習 問023 解説｜思考ルート
Webアプリケーションにおけるセキュリティ脆弱性およびその対策に関する記述のうち、最も不適切なものはどれか。
※本問は、過去の出題傾向・頻出論点をAI分析して作成した「過去問準拠の予想演習問題」です。
予想演習 No.023
Webアプリケーションにおけるセキュリティ脆弱性およびその対策に関する記述のうち、最も不適切なものはどれか。
選択肢
SQLインジェクション攻撃を防ぐためには、データベースへの問い合わせにおける動的なクエリの構築を避け、あらかじめ用意されたSQL文の構造にパラメータを安全に埋め込むプレースホルダを利用することが有効である。
ディレクトリトラバーサル攻撃を防ぐためには、ユーザからの入力値をそのままファイルパスとして解釈させず、ファイル名を厳格に検証するかパス指定を許可しない設計にすることが重要である。
クロスサイトスクリプティング攻撃は、Webサーバ内部のデータベース領域に悪意あるスクリプトを永続的に常駐させ、サーバのOSコマンドを不正実行させることでシステムを乗っ取る攻撃である。
クロスサイトスクリプティング対策としては、Webページへ動的に出力を行う際にHTMLの特殊文字を適切に別の文字列へと置き換えるエスケープ処理を徹底することが求められる。
正解と解説（思考ルート）
【正解】 選択肢 3
■【設問の意図と背景】
Webセキュリティにおける各種攻撃の脅威メカニズム、脆弱性の発生箇所、および正しい対策手法の知識を問う。
■【正解の根拠とメカニズム】
選択肢3の記述は不適切である。クロスサイトスクリプティング（XSS）は、攻撃者が仕込んだ悪意あるスクリプトを被害者の「Webブラウザ上」で実行させる攻撃であり、サーバ上のデータベースに常駐させてOSコマンドを不正実行する攻撃ではない（それはOSコマンドインジェクションやSQLインジェクションの文脈混同である）。
■【各選択肢の徹底検証】
・選択肢1：プレースホルダによるSQLインジェクション対策であり正しい。
・選択肢2：ファイル名検証やパス指定制限によるディレクトリトラバーサル対策であり正しい。
・選択肢3：実行場所や攻撃の性質を誤って記述しており不適切。
・選択肢4：出力時のエスケープ処理によるXSS対策であり正しい。
■【本番での即断ポイント】
クロスサイトスクリプティングの実行場所は常に「ユーザのWebブラウザ上」であり、サーバ側のOSやDBを直接乗っ取る攻撃ではない点に注意する。
スマホで全100問をランダム演習・弱点管理しませんか？
「思考ルート」のWeb演習アプリなら、伝送交換主任技術者をはじめとする難関資格の過去問準拠・予想演習を、スマホやPCで100問まで完全無料でお試し演習できます。