書籍「はじめてのPHPプログラミング基本編5.3対応」にSQLインジェクション脆弱性 - 徳丸浩の日記(2008-10-29)

id:hasegawayosuke氏にそそのかされるような格好で、「はじめてのPHPプログラミング基本編5.3対応」という書籍を購入した。 本書は、ウノウ株式会社の下岡秀幸氏、中村悟氏の共著なので、現役バリバリのPHP開発者が執筆しているということ、下記のようにセキュリティのことも少しは記述されているらしいという期待から購入したものだ。 目次から抜粋引用 07-07 Webアプリケーションのセキュリティ [セキュリティ] 08-04 データベースのセキュリティ [SQLインジェクション] 09-13 セキュリティ対策 [セキュリティ] 本書をざっと眺めた印象は、「ゆるいなぁ」というものであるが、その「ゆるさ」のゆえんはおいおい報告するとして、その経過で致命的な脆弱性を発見したので報告する。 問題の報告 それは、本書P280に登場する「SQLインジェクション対策用の関数(dbescape)」

[HHR]

はじめてのPHPプログラミング基本編5.3対応

[kmachu]

「暗号を自作するな！」と問題の構図が似ている。 / こういう指摘がWebで読めるのはいいなぁ。 / ライオンの絵がかわいい。

[masakielastic2]

php5.3で導入されるSQLite3関数を調べたらバインド機構があった

[sdv]

結果的に、買った人がわかりやすいSQLインジェクションの説明になっている気がする。/この記事を含めて書籍が完成と・・・。

[t-murachi]

ウノウレベルでもこういうことは起こりうるのよね。技術者は卑下することなく明日の我が身と常に心にとどめるべきと思う。

[cloned]

ご指摘ありがとうございます。

[boyasan]

特にイラストに対してブクマ

[hanageman]

"バインド機構に似た機能を自作しようというのが間違い"

[shimooka]

指摘ありがとうございます

[ya_ta]

内容的には私にゃさっぱり(笑)ですが、「何がどう問題か」と「どうすべきだったか」が書かれている素晴らしいエントリ。// こういう文章の書き方、見習いたいものです。

[ysenda]

ライオンが逃げたので。

[shag]

なんで prepared statement 使わないんだろう

[takeshiketa]

ショック。。。mysqlならコレ使えって、phpって標準のバインド(or インターフェース)も無いのか。。。スゲー世界やな

[Kiske]

シリーズ化しそう

[se-mi]

SQLインジェクション

[hasegawayosuke]

セキュリティな書籍は徳丸さんに献本すれば書評を書いてもらえるメソッドというのはどうか。徳丸さんはブログタイトルを "404 SQLi Not Found" とかにするとなおよし。

[ockeghem]

同書の関数dbescapeにSQLインジェクション脆弱性