SQLインジェクションが通った原因は“静的解析ツールのバージョンアップ” 「自動修正機能」に気をつけるべき理由

「静的解析ツールで生まれたSQLインジェクション」というタイトルで登壇したのは、小川 氏。「面白かった脆弱性」について解説し合い、脆弱性に関する知識を深めるためのイベント「Security․Tokyo #2」で、静的解析ツールによって生まれたSQLインジェクションの事例について発表しました。 登壇者の自己紹介 小川氏：小川と申します。「静的解析ツールで生まれたSQLインジェクション」というタイトルで発表いたします。よろしくお願いします。 自己紹介を簡単に。経歴ですが、昔学生の時にWebアプリ開発のバイトをしていて、就職後は10年ぐらいぜんぜん違う、製造業で働いていました。ずっとパソコンを見ていたら目が悪くなるかなと思ってほかの業界に行ったのですが、結局ずっとExcelやWordを見ていて、あまり変わりませんでした。 結局やはりITだなと思って、最近root ipという会社に転職して、Bto

[ledsun]

ドキュメントで書いた型制約を信じすぎるの怖いのね

[tmatsuu]

興味深い。フレームワークがよしなにやってくれるから気にしなくて大丈夫と過信しないこと。それは静的解析ツールにも同じことが言えるか。

[YaSuYuKi]

ORマッパーのインターフェースも良くないよな

[sho]

これは怖い

[ardarim]

静的解析がまずいわけではなく、自動修正がまずいということ。静的解析ツールも偽陽性とかあるわけで、自動修正なんて怖くて使えんな。せめて自動修正後のレビューはいるだろう…