Q15.
關於「資料隱碼攻擊(SQL Injection)」之敘述何者最不妥當？
網頁設計 · 乙級 · 資訊安全 · Q15
難易度分析
2 / 5
本題考查對特定資安漏洞成因的正確認知，需在多個描述正確的技術特徵中，辨別出關於責任歸屬的邏輯錯誤，屬於基礎概念的定義辨析。
正確答案：①為使用者而非開發程式者造成
① 為使用者而非開發程式者造成:SQL Injection 的根本成因是開發者未落實輸入驗證與參數化查詢，而非使用者造成；使用者僅是「利用既有漏洞」的攻擊方，將責任歸咎於使用者是最不妥當的敘述。
錯誤選項解析
- ② 造成資料庫資料遭竄改或外洩:SQL Injection 確實可透過惡意 SQL 語法對資料庫執行 INSERT、UPDATE、DELETE 或未經授權的 SELECT 操作，導致資料遭竄改或外洩，此敘述正確。
- ③ 主要原因為程式缺乏輸入驗證:SQL Injection 的主要成因正是程式缺乏輸入驗證（如未過濾特殊字元、未使用 Prepared Statement），使攻擊者得以注入惡意 SQL 片段，此敘述正確。
- ④ 可跳過驗證並入侵系統:SQL Injection 可透過構造如 `' OR '1'='1` 的 Payload 繞過登入驗證邏輯，甚至利用 UNION 查詢或堆疊查詢取得系統權限，此敘述正確。
Learning Tip
"本題考點在於辨別 SQL Injection 的責任歸屬：漏洞源於開發階段的程式設計疏失，而非使用者行為。常見陷阱是混淆「攻擊執行者」與「漏洞造成者」。實務上應優先採用 Prepared Statement（參數化查詢） 與 輸入驗證白名單機制，並遵循 OWASP Top 10 防護指引，而非依賴前端過濾或黑名單。"
學員答題分佈
①為使用者而非開發程式者造成0%
②造成資料庫資料遭竄改或外洩0%
③主要原因為程式缺乏輸入驗證0%
④可跳過驗證並入侵系統0%
此答題分佈是根據學員在 LongePass 模擬考等實際作答紀錄計算而成。與考友分享這道歷屆試題與詳細解析！