［MySQLウォッチ］第27回 MySQL 5.0 および 4.1 にSQLインジェクションのセキュリティ・ホール
先日，MySQL 5.0 および 4.1 に関してSQLインジェクションの危険性に対応するためにバージョンアップが行われた。 SQLインジェクションとは，入力されたデータにより意図せざるSQL文が実行されてしまうという攻撃である。データベースのデータを書き換えられたり，データが読み出されることにより情報が漏洩したりする恐れがある。セキュリティ・ホールというとWebサーバーやWebアプリケーション言語の専売特許だという印象があるが，データベースにも存在する。十分な注意が必要である。 以下，SQLインジェクションの原理と，MySQLに存在した問題の詳細とその対応について解説する。問題の発見から修正にいたるやりとりはWeb上で公開されており，誰がいつ問題を指摘し修正したのかもたどることができる。 mysqli_real_escape_string()関数によるSQLインジェクションの防止 プログ
「2005年はSQLインジェクションや“Winnyウイルス”が脅威に」，セキュリティ白書
情報処理推進機構（IPA）は3月22日，2005年の情報セキュリティに関する“10大脅威”とその対策方法などをまとめた「情報セキュリティ白書2006年版」を公表した。それによると，「SQLインジェクション」の脆弱性（セキュリティ・ホール）を突いた攻撃や，ファイル共有ソフト「Winny（ウィニー）」経由で情報を流出させるウイルス（悪質なプログラム）などを，2005年の大きな脅威として挙げている。 同白書は，2005年中にIPAに報告されたウイルスや脆弱性情報などを基に，ベンダーや組織の専門家で構成される「情報セキュリティ検討会」によって検討され，まとめられた。 同白書では，2005年の“10大脅威”として以下の項目を挙げている。 事件化するSQLインジェクションWinnyを通じたウイルス感染による情報漏えいの多発音楽CDに格納された「ルートキットに類似した機能」の事件化悪質化するフィッシング
基礎から理解するデータベースのしくみ（5）：ITpro
SQL文を実行する際のパフォーマンスに大きな影響を及ぼすものとして，もう一つ，インデックスがあります。インデックスについては，どう定義すべきかというデータベース設計上の問題と，インデックスを有効に使うためのSQL文をどう書くべきかというコーディング上の問題があります。 ここではテーブル設計上の問題を主に取り上げます。SQL文のコーディングについては囲み記事「SQL文を最速にする11のポイント」を参照してください。 インデックスは，テーブルの検索速度を向上させるためのものです。それぞれのSQL文に対して最適なインデックスを定義するのが理想的ですが，実際にはある程度限られたインデックスで，必要なパフォーマンス要件を満たすようにインデックスを定義する必要があります。加えて，どんなSQL文が実際に発行されるのかがあらかじめわかっていない場合は，適当な想定に基づいてインデックスを定義しておかなくては
ウェブブラウザからJavaScriptでSQLを設計 - WWW SQL Designer | エンタープライズ | マイコミジャーナル
4日(現地時間)、WWW SQL Designerの最初のメジャーリリースとなるWWW SQL Designer version 1.0が公開された。WWW SQL Designer 1.0はWebブラウザからデータベースの設計を行うことができるアプリケーション。また5日にはいくつかの変更が加えられたバージョン1.0.1が公開されている。主にPHPとJavaScriptで構成されたWebアプリケーションで、GPLのもとオープンソースソフトウェアとして公開されている。 WWW SQL Designerを使うと、ブラウザを経由してリレーショナルデータベースのE-R図を設計することができる。テーブルの作成、テーブル間の関係を作成することができ、作成したデザインから以下の形式のデータを作成することができる。作成したデータを読み込んでE-R図を復元することもできる。 MySQL (XML+XSLT)
Javaオブジェクトに対してSQLを実行 - JoSQL 0.9公開 | エンタープライズ | マイコミジャーナル
JoSQLプロジェクトは5日(現地時間)、Javaプログラム用の一風変わったSQLライブラリであるJoSQL(Java Objects SQL)バージョン0.9を公開した。SQLのクエリーといえば、通常はデータベースに対して発行するものである。しかしJoSQLの場合、データベースではなくJavaオブジェクトに対してSQLクエリーの発行を行う機能を提供する。 JoSQLを利用すれば、Javaプログラムでコレクション・オブジェクトに対してSQLを実行し、要素の検索などを行えるようになる。SQLクエリーはListオブジェクトに対して発行でき、結果はQuetyResultというオブジェクトで返される。例えばリスト1のような具合だ。 リスト1 List<Member> list = new ArrayList<Member>(); list.add(new Member("Sugiyama", "
「人気サイトにはサイバーテロを防ぐ責任がある」ラック西本取締役
「アクセスが集中するサイトがサイバーテロに遭うと被害が拡大する。人気サイトにはテロをやらせないように対策を行なう責任がある」。企業向けのウイルス対策をテーマにした「Virus Conference for Enterprise 2005」で、基調講演に立ったラックの西本逸郎取締役執行役員（SNS事業本部長）が指摘した。 ● SQLインジェクションで倒産の危険も 西本氏はまず、不正アクセスの手口が変化していることを指摘。従来はOSの脆弱性や欠陥を悪用し、不正アクセスを行なう手法が多かったが、最近ではユーザーの意識も向上して、セキュリティ修正プログラム（パッチ）の適用や、不要なサービスの無効化など「要塞化」（西本氏）するようになったという。 OSが要塞化されると、2年ほど前からは設定ミスを悪用するケースが増えてきた。例えば、Webサーバーのパスワードをデフォルトのままにするなど「うかつなミス」
「急増するSQLインジェクション攻撃，『データベース・セキュリティ』が一層重要に」---DBSCのセミナーより
「最近注目されている『SQLインジェクション攻撃』だが，決して新しいものではない。3～4年前から行われているので，『何をいまさら』というのが専門家の見方だ。ただし，2004年9～10月ごろから“使いやすい”攻撃ツールが公開されているために，SQLインジェクション攻撃が急増しているのは確かだ」――。ラックの代表取締役社長である三輪信雄氏などは7月25日，データベース・セキュリティ・コンソーシアム（DBSC）のセミナーにおいて，SQLインジェクション攻撃やデータベース・セキュリティについて解説した。 DBSCとは，データベースに関するセキュリティの議論や研究，情報発信を行うためのコンソーシアム。2005年2月に設立された。ラックの三輪氏が事務局長を務める。設立目的は，「データベース・セキュリティにかかわるさまざまな人々が集まれる場所を提供するため」（三輪氏）。 一口に“データベース・セキュリテ
【レポート】セキュアなWebアプリ実現のために本来やるべきことは? - 高木浩光氏 | エンタープライズ | マイコミジャーナル
いわゆる「Webアプリケーション」のセキュリティに関する問題を論議する「Web Application Security Forum(WASF)」が、7月8日に都内で第2回のカンファレンスを開催した。同カンファレンスでは、セキュリティ業界ではもはやおなじみの存在であり、WASFの理事でもある産業技術総合研究所の高木浩光氏が講演を行った。 おなじみ高木浩光氏。この日はWASF理事として登場 キーワードジャーナリズムは世間一般への啓発のために有効 高木氏の講演は「増えつつある疑わしいキーワードを斬る〜キーワードジャーナリズムに踊らされるな〜」という題名で予定されていたが、高木氏は冒頭でいきなり「この題名は理事会で決められたものだが、私個人はむしろ『キーワードジャーナリズム万歳』という風に思っており、参加者の皆さんこそ『講演の題名に踊らされるな』と言いたい」と述べて会場を笑わせた。 その上で高木
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
SQL Power Injector Download
ドメインパーキング
リレーショナル・データベースの世界
http://rryu.sakura.ne.jp/hakaba/bbs.cgi?mode=list&s=431&l=10
http://neta.ywcafe.net/000520.html
米オラクルのSQL対抗無償データベース、日本では提供見送り - ニュース - nikkei BPnet