令和7年度 春期 高度試験共通 午前I 問14

各選択肢の解説

ア

SQL文の組立ては全てプレースホルダで実装する。

誤りです。SQL文をプレースホルダで組み立てるのはSQLインジェクションの対策です。入力値をSQLの構文から切り離して、データベースへの不正な命令を防ぎます。OSのシェルに渡すコマンドの注入には効果がありません。

イ

シェルを起動できる言語機能を利用した実装を避ける。

正しいです。OSコマンドインジェクションは、入力値がシェルに渡され、「;」や「|」などのメタ文字によって別のコマンドが実行されてしまう脆弱性です。シェルを起動する言語機能（system関数やopen関数のパイプ指定など）を使わない実装にすれば、シェルがメタ文字を解釈する経路がなくなるため、根本的な対策になります。

ウ

直接メモリにアクセスできる言語機能を利用した実装を避ける。

誤りです。直接メモリにアクセスする言語機能（C言語のポインタ操作など）を避けるのは、バッファオーバーフローのようなメモリ破壊系の脆弱性への対策です。OSコマンドインジェクションは、シェルがメタ文字を解釈することで起きるため、メモリ操作を避けても防げません。

エ

利用者が入力したファイル名にディレクトリが含まれていないかのエラーチェックを実装する。

誤りです。利用者が入力したファイル名に「../」などのディレクトリが含まれていないかを確認するのは、ディレクトリトラバーサル（パストラバーサル）の対策です。想定外のファイルへのアクセスは防げますが、シェルのメタ文字による任意コマンドの実行は防げません。