複文が利用できるデータベースの調査: SQL Serverが狙われるには理由がある - 徳丸浩の日記(2008-05-02)

_SQL Serverが狙われるには理由がある SQLインジェクションを利用したWebサイトの改ざん事件が頻発している。標的となったサイトの多くがIIS(ASP)とSQL Serverの組み合わせを利用していることから、今回の攻撃がIISやSQL Serverの脆弱性を利用したものだと言う報道があるらしい。 これに対して、マイクロソフトが反論している。 「SQLインジェクション攻撃とIISは無関係」とMicrosoft しかしMicrosoftはセキュリティ対策センター（MSRC）のブログで、今回のWebサーバ攻撃では「未知の脆弱性や新しい脆弱性は悪用されていないことが当社の調査で分かった」と説明。攻撃はIISやSQL Serverの脆弱性を突いたものではなく、アドバイザリー951306の脆弱性とも無関係だとした。 これはまぁ、もっともな内容だと思う。しかし、疑問は残る。なぜ、IISとSQ

[hisaichi5518]

perl+mysqlの場合、 mysql_multi_statements がある。 http://twitter.com/kazeburo/status/48174845724336128

[riywo]

perlのDBD::mysq;だと「;」の複文を実行できないっぽい。

[ghostbass]

";"があったら例外吐くようにしようかな。パラメータはバインド機構使ってるはずだから「;入力されたらどうするの」って反論は却下できる。

[sylvan_l]

sql インジェクションの方法

[hurvinek]

SQLServerがなぜSQLインジェクションで狙われるのか．

[kazuhooku]

MySQL でも旧プロトコルなら複文使えたような気がする

[pitworks]

SQLインジェクション MySQL Postgres // 言語とDBの表が便利

[pentasa]

複文つかえなくしとけばいいのに。。。

[raimon49]

複文でscript要素文字列を組み立ててぶち込む。http://blogs.technet.com/neilcar/archive/2008/03/15/anatomy-of-a-sql-injection-incident-part-2-meat.aspx

[rna]

「SQLインジェクションによって複雑なことを行う(とくに更新系)ためには、複文が利用できるかどうかが問題」「SQL ServerとPostgreSQLで複文が利用できることは、…ターゲットにしやすいプラットフォームということになる」

[isdyy]

> 広く利用されているデータベースでは、SQL ServerとPostgreSQLで複文が利用できることは、攻撃者の立場から考えると、ターゲットにしやすいプラットフォームということになる。

[ockeghem]

SQLインジェクションにおいて複文が利用できる条件を調査しました