Webアプリケーションの脆弱性（基礎の分類）とは？

Webアプリケーションの脆弱性（基礎の分類）の意味

SQLインジェクション（入力欄から不正なSQL文を混入させデータベースを不正操作する）、クロスサイトスクリプティング（不正なスクリプトを埋め込み他の利用者のブラウザで実行させる）といった、Webアプリケーション特有の脆弱性を突く攻撃の分類。応用情報ではこの基礎の上に、CSRF・クリックジャッキング・バッファオーバーフローなど関連する高度な攻撃手法とその対策（入力値検証、WAF導入など）が問われる。

Webアプリケーションの脆弱性（基礎の分類）の具体例

ログインフォームの入力チェックが甘いと、SQLインジェクションによってパスワードを知らなくても認証を突破されるおそれがある。

Webアプリケーションの脆弱性（基礎の分類）は試験でどう引っ掛けられる？

被害の当たる先が違う。SQLインジェクションはサーバ側のデータベースが直接狙われるが、クロスサイトスクリプティングで害を受けるのは、そのサイトを閲覧した別の利用者のブラウザ。「自社のサーバが壊れないから軽微」は誤り。対策も別で、SQLインジェクションはプレースホルダ（バインド機構）を使ったSQLの組み立て、XSSは出力時のエスケープが根本対策。入力値のチェックやWAFはいずれも補助であって、根本対策の代替にはならない。

Webアプリケーションの脆弱性（基礎の分類）と関連する用語

• バッファオーバーフロー攻撃
• クロスサイトリクエストフォージェリ（CSRF）
• WAF（Webアプリケーションファイアウォール）

Webアプリケーションの脆弱性（基礎の分類）が出た過去問

• 図のような構成と通信サービスのシステムにおいて,Webアプリケーションの脆弱性対策のためのWAFの設置場所として,最も適切な箇所はどこか。ここで,WAFには通信…

  正解：c

  要点：WAFは復号後の平文HTTP区間に置かないと検査できない

  WAFはHTTPの中身（リクエストのパラメタなど）を検査してWebアプリケーションへの攻撃を防ぐ装置である。本問のWAFは暗号化・復号の機能をもたないため、HTTPSで暗号化されたままの区間に置いても中身を検査できない。SSLアクセラレータで復号された後、Webサーバの手前にあたる平文HTTPの区間に設置するのが適切である。

  出典：令和5年度 （公開問題） 基本情報技術者試験 kamokuA 問10（IPA）