SQLインジェクションとは何か？その正体とクラッキング対策。

世間では、今Gumblar祭りが勃発中であり、SQLインジェクションがニュースに出てくることは少なくなったが、だからと言ってSQLインジェクションの脅威がなくなったわけではない。SQLインジェクションはGumblarを仕掛ける手段としても利用されることがあり、Webアプリケーションを提供する全ての人にとって、対策を講じなければいけない驚異であることに変わりはない。SQLインジェクションという攻撃手法が認識され、大いに悪用されているにも係わらず、その本質に迫って解説している記事は少ないように思う。従来のWeb屋だけでなく、今やアプリケーション開発の主戦場はWebであると言っても過言ではなく、そういう意味ではSQLインジェクションについて理解することは、全てのプログラマにとっての嗜みであると言えるだろう。 というわけで、今日は改めてSQLインジェクションについて語ってみようと思う。 SQLイン

[feb223]

SQLインジェクションとは何か？その正体とクラッキング対策。

[sukepyon]

"問題は、SQLを組み立てる過程にある"/"フィルタはSQLを組み立てるのに利用する値全てに適用する"

[kiyoshi1211]

SQLインジェクション

[hatakazu93]

技術

[misomakura]

sqlインジェクション

[soratokimitonoaidani]

SQLのSの字も知らなかったから半分もわからなかったけど、一応ブクマ

[ka-wara]

『攻撃者はフィルタをすり抜けて不正なシングルクォーテーションを混入させる手法の発見に血道をあげており、フィルタの開発と攻撃手法の確立はいたちごっこ』

[snsw]

どういう風にくるかわからないのでinputフィールドに文字数制限したって意味がない。

[diveintounlimit]

ブクマが3桁行ってる理由が分からん。手垢が付きそうなくらい枯れた話なわけだが。内容も微妙。彼の書いた本は気をつけて買わないようにしよう。

[threeMonths]

"セカンドオーダーインジェクション"/こういう記事は僕のような初心者にはありがたい

[chevaliernoir]

世間では、今Gumblar祭りが勃発中であり、SQLインジェクションがニュースに出てくることは少なくなったが、だからと言ってSQLインジェクションの脅威がなくなったわけではない。SQLインジェクションはGumblarを仕掛ける手段

[fukken]

というわけで語りつくされたアレだけどあとで読む

[kogawam]

「プリペアードステートメント自身を動的に組み立ててしまうと元の木阿弥なので注意しよう！」←あれ？やらない？検索画面で複雑な検索条件指定する場合のクエリ等。動的組立の部品が固定なら安全。（俺DB苦手だけど

[hiro_y]

SQLインジェクションに関するわかりやすいまとめ。

[creaism]

#sstart 漢(オトコ)のコンピュータ道: SQLインジェクションとは何か？その正体とクラッキング対策。

[div1]

sqlインジェクションのはなし

[holypp]

SQLインジェクションまとめ。わかりやすい。

[otchy210]

う～ん、このくらいの解説なら腐るほどある気がするぞ。何でこんなにブクマされてるの？

[phista]

詳しく分かってなかったなー。とりあえずプリペアドステートメント使うorエスケープっていう対策でしか認識してない・・・

[IwamotoTakashi]

ブコメが興味深い

[vierger]

Let's use PreparedStatement!

[frkw2004]

でもさぁ、インジェクションを成功させるＳＱＬ作成例は前提の説明が足りないよね。ユーザー入力テキストの文字数制限がないとか。ユーザーIDとパスワード入力用のテキストに必要文字数以上の入力はさせないよね。

[showyou]

文章云々よりも、この手の話なんて今まで腐るほど出てきてるんだから似た話をせめてリンク貼るなりしろよ。これじゃセキュリティゴロとか言われてもしかたないよ。

[te2u]

取り得る値が限定的なら、SQLを作り、実行する前にその値の妥当性をチェックすることで防ぐこともできる。

[teren]

SQLインジェクションの具体的な解説

[style_blue]

> その他の対策としてはデータベースのセキュリティを徹底したり、大事な情報をアプリケーション側で暗号化してからデータベースに突っ込んだり、ハニーポットを仕掛けておいたりといった基本的なことが考えられる。

[kistame228]

書籍が楽しみです！

[rryu]

ちょっと違う。SQLを動的に組み立てるというのは原因を作り出す主たる行動で、実際の原因は壊れたSQLを発行してしまうというバグにある。

[netiron]

文法的に正しいSQLを実行するのは欠陥でも何もない。（むしろ実行出来ないのが欠陥であると言える。）つまり、Webアプリケーション側でSQLが書き換えられた時点で、時はもう既に遅し！