MultipartのboundaryがSQLインジェクションとして検知されることがある

Photo by Dim Hou on UnsplashTeachme Biz にはCSVファイルをアップロードすることでアカウントの一括作成・一括更新ができる機能があります。先日、サービスをご利用中のお客様からのお問い合わせで「特定のCSVファイルのアップロードが 403 エラーになる」という事象が発覚しました。 アクセスログ等を調査した結果、この403エラーを返していたのはアプリケーションサーバーではなくその前段にある ALB (Application Load Balancer) であることが分かりました。ALBが、設定された WAF (Web Application Firewall) のルールに従いリクエストを終端していたのです。 ログを読んでみようAWS WAF の場合、ログの terminatingRuleId にリクエストを終端したルールが記録されます。問題のリクエストは

[shingo-sasaki-0529]

はえ〜すっごい。ちゃんと form-data のリクエストボディにもチェック入れてるんだ。逆に言えばそこから攻撃できる可能性もあるのか。そりゃリクエストに応じて動的にクエリ組まれたらそうなるか。