令和7年度 春期 ITストラテジスト試験 システムアーキテクト試験 ネットワークスペシャリスト試験 ITサービスマネージャ試験 情報処理安全確保支援士試験 午前Ⅰ 問題【共通】 問14
テクノロジセキュリティ技術
この問題は2025(R7)春 高度試験共通 午前Iに出題されたものです。出題時点の法令・制度に基づく内容のため、現行の内容と一致しない場合があります。
本ページの問題文・選択肢は、原本の体裁を Web 表示用に正規化しています（改行・記号・数式・図表参照の調整）。設問の趣旨および正解に影響する変更は加えていません。
Webアプリケーションソフトウェアの開発におけるOSコマンドインジェクション対策はどれか。
解答・解説を読む
正解: 選択肢イ
OSコマンドインジェクションとは、Webアプリケーションの脆弱性を突いて、外部からOSのコマンドを不正に実行させる攻撃手法です。
この攻撃を防ぐためには、Webアプリケーション内でOSのコマンドを直接呼び出すような実装を避けることが最も効果的です。したがって、シェルを起動できる言語機能を利用した実装を避けるという対策が適切です。
各選択肢の解説
- ア：SQL文の組立ては全てプレースホルダで実装する。
データベースを不正に操作するSQLインジェクションに対する有効な対策です。 - イ：シェルを起動できる言語機能を利用した実装を避ける。
正解です。OSコマンドインジェクションを防ぐための対策となります。 - ウ：直接メモリにアクセスできる言語機能を利用した実装を避ける。
想定外のメモリ領域を上書きされるバッファオーバーフローなどの脆弱性に対する対策です。 - エ：利用者が入力したファイル名にディレクトリが含まれていないかのエラーチェックを実装する。
非公開のファイルに不正アクセスされるディレクトリトラバーサル（パストラバーサル）に対する対策です。