SQLインジェクション - Wikipedia

SQLインジェクション（英: SQL injection）とは、アプリケーションのセキュリティ上の不備を意図的に利用し、アプリケーションが想定しないSQL文を実行させることにより、データベースシステムを不正に操作する攻撃方法のこと。また、その攻撃を可能とする脆弱性のことである。 SQLに別のSQL文が「注入 (inject)」されることから、「ダイレクトSQLコマンドインジェクション」もしくは「SQL注入」と呼ばれることもある。 原理[編集] アプリケーションが入力値を適切にエスケープしないままSQL中に展開することで発生する。 次のようなSQLを発行することを考える。

[vivit_jc]

広く知られているにも関わらず対策されていなかったセキュリティ問題の例

[kiefer-g-pseudo]

スクリプト版はスクリプトインジェクション

[ockeghem]

『Javaでよく使われるJDBCの仕様には、Prepared文のバインド機構がエスケープ処理をしなければならないと明記されていない。仮に、エスケープ処理不十分な実装であっても、仕様上は問題ない』<そんな馬鹿な…

[t-murachi]

「SQLインジェクションは、入力値を適切にエスケープすることで防ぐことができる。…」<おいいいのかこんな内容のまま放置して…

[yuhei_kagaya]

実例

[hiro-rock]

Crack 気を付ける

[gugugonta]

何でも載ってるのね、Wikipedia