令和7年度 春期 高度試験共通 午前I 問14

各選択肢の解説

ア

SQL文の組立ては全てプレースホルダで実装する。

誤りです。プレースホルダ（バインド機構）でSQL文を組み立てるのはSQLインジェクションへの対策です。入力値がSQL構文として解釈されるのを防ぎますが、シェル経由でOSコマンドが実行される経路には効果がありません。

イ

シェルを起動できる言語機能を利用した実装を避ける。

正しいです。OSコマンドインジェクションは、system関数やexec、Perlのopen関数などシェルを起動する機能に外部入力が渡り、「;」「|」などのメタ文字で任意コマンドを連結される攻撃です。シェルを起動する言語機能を使わない実装が根本的な対策になります。

ウ

直接メモリにアクセスできる言語機能を利用した実装を避ける。

誤りです。ポインタなどメモリへ直接アクセスする言語機能を避けるのは、バッファオーバーフローなどメモリ破壊系の脆弱性への対策です。OSコマンドインジェクションはシェルがコマンド文字列を解釈することで起きるため、この対策では防げません。

エ

利用者が入力したファイル名にディレクトリが含まれていないかのエラーチェックを実装する。

誤りです。ファイル名に「../」などのディレクトリ指定が含まれていないか検査するのは、ディレクトリトラバーサル（パストラバーサル）への対策です。想定外のファイルへのアクセスは防げますが、シェルに任意のコマンドを実行させる攻撃は防げません。