急増するSQLインジェクション攻撃--被害は一般ユーザーへも
ラックは8月20日、CSLレポート「ビジネス化がさらに加速するサイバー攻撃」を発表した。このレポートは、同社のCSL（コンピュータセキュリティ研究所）が日本国内における最新の傾向と新たなセキュリティ脅威について評価し、まとめたもの。今回は急増するSQLインジェクション攻撃を中心にまとめられている。 2008年3月以降、中国方面からのSQLインジェクション攻撃が急増し、多くのウェブサイトのコンテンツが改竄された。これらはGoogleの検索機能を利用して脆弱性が存在するウェブページを探索し、SQLインジェクション攻撃を試みるという手法を用いたものであった。しかも、この一連の流れがボット化されているため、その脅威は大きくなるのだという。 このボットは複数種類が存在し、送信するリクエストを調査したところ、マルチバイト文字環境で作成されたことが判明した。SQLインジェクション攻撃により改竄されたウェ
GSX、データベースに特化した脆弱性検査サービス − ＠IT
2008/08/11 グローバルセキュリティエキスパート（GSX）は7月より、データベースに特化した脆弱性診断サービス「データベース脆弱性検査サービス」の提供を開始した。セキュリティパッチが適用されているかどうかだけでなく、データベースへのアクセス権限やアカウントが適切に運用されているかどうかをチェックし、改善策を提示する。 データベース脆弱性検査サービスは、商用ツールを用いた機械的な検査に加え、同社のセキュリティコンサルティング専門チーム「タイガーチーム」による手動の侵入検査と、ID、パスワードの運用などに関するヒアリングから構成される。ツールによる自動検査だけでは洗い出しきれない脆弱性を検出できる点が特徴という。また、内部監査の観点からも重要な、ログの管理体制についてもチェックする。 国内でも大きな被害が生じていることから、SQLインジェクションをはじめとする外部からの攻撃へのセキュリ
グーグル、ウェブ脆弱性検知ツール「RatProxy」をリリース
Googleは米国時間7月1日、ウェブ開発者がクロスサイト脆弱性を発見し、修正するためのツールをリリースした。 Googleによると、「RatProxy」と呼ばれるこの無料ツールは、半自動化された大部分が受動型のウェブアプリケーションセキュリティ監視ツールで、複雑なWeb 2.0環境における既存のユーザー主導型トラフィックの監視に基づく潜在的問題およびセキュリティ関連の設計パターンを正確かつ高感度に検出し、自動的に注釈を付けるように最適化されているという。 同ツールはまた、幅広く脆弱性を検知し、ランク付けする。クロスサイトリクエストフォージェリ（XSRF）やクロスサイトスクリプティング（XSS）のほか、スクリプトインジェクションなども検知する。
「安全なウェブサイト運営入門」におけるOSコマンド・インジェクションの脆弱性：IPA 独立行政法人 情報処理推進機構
「安全なウェブサイト運営入門」にOSコマンド・インジェクションの脆弱性が存在することが判明しました。 この脆弱性を悪用された場合、悪意ある第三者の攻撃により「安全なウェブサイト運営入門」が動作しているコンピュータ上でOSコマンドが実行されてしまう危険性があります。 このことから「安全なウェブサイト運営入門」は使用しないでください。 脆弱性の説明 「安全なウェブサイト運営入門」が、細工されたセーブデータを読み込むことで任意の OSコマンドを実行される可能性があります。 脆弱性がもたらす脅威 悪意のある第三者によってコンピュータが任意に操作される可能性があります。 対策方法 「安全なウェブサイト運営入門」を使用しない。 「安全なウェブサイト運営入門」の開発およびサポートは終了いたしました。そのため、今後本脆弱性の対策版を提供する予定はありません。「安全なウェブサイト運営入門」の使用を停止してく
徳丸浩の日記 - そろそろSQLエスケープに関して一言いっとくか - SQLのエスケープ再考
補足 この記事は旧徳丸浩の日記からの転載です。元URL、アーカイブ、はてなブックマーク1、はてなブックマーク2。 備忘のため転載いたしますが、この記事は2007年11月26日に公開されたもので、当時の徳丸の考えを示すものを、基本的に内容を変更せずにそのまま転載するものです。 補足終わり 本稿ではSQLインジェクション対策として、SQLのエスケープ処理の方法について検討する。 最近SQLインジェクション攻撃が猛威を振るっていることもあり、SQLインジェクションに対する解説記事が増えてきたようだが、対策方法については十分に書かれていないように感じる。非常に稀なケースの対応が不十分だと言っているのではない。ごく基本的なことが十分書かれていないと思うのだ。 SQLインジェクション対策には二通りある。バインド機構を使うものと、SQLのエスケープによるものだ。このうち、SQLのエスケープについて、十分
あの「SQLインジェクション」騒動の裏で（前編） ― ＠IT
毎日のように起きる脆弱性を突いた攻撃、それを守るための仕組みも多数のベンダにより提供されていますが、実際にその攻撃を検知し、どのように対処するかということは人間の手――セキュリティアナリストによって行われています。本連載ではそのセキュリティアナリストと呼ばれる人たちが、どのような考え方やマインドで仕事をしているのかを探るべく、技術とともに“人”にフォーカスしたコラムとして伝えていきます（編集部） 「攻撃の波」をいち早く見つけることの意味 はじめまして。今回からこのコラムを担当する、川口といいます。わたしが勤める株式会社ラックは、企業のITインフラをリスクから守るためのさまざまなセキュリティソリューションを提供しています。わたしの役割は、企業・団体などのITネットワークを守るセキュリティ監視運用センター“JSOC”（Japan Security Operation Center：ジェイソック
あの「SQLインジェクション」騒動の裏で（後） ― ＠IT
こんにちは。JSOCセキュリティアナリストの川口です。前編では3月11日夜から急増したSQLインジェクションによるホームページ改ざん行為について説明しました。後編では注意喚起を配信した、13日以降のJSOCの舞台裏について説明します。 2008年3月13日（木）――自分たちが出した「注意喚起」が生きる 昨夜はほとんど眠れませんでした。23時、2時、5時、6時とお客さまのホームページに攻撃が行われ、緊急インシデントとなったからです。 緊急インシデントとなると、問題を発見したセキュリティアナリストから筆者の携帯電話へ連絡が入ります。耳元のすぐ近くで振動している携帯電話を探して、お客さまへの連絡の指示をして再び眠りへ。24時間セキュリティアナリストから電話が入りますので、電話を切るとすぐに眠れることが特技になりました。そんな筆者でもさすがに昨夜はつらく、重い頭のまま出勤しました。「今日も昨日のよ
相次ぐWeb改ざん，いったい何が起こっているのか
知らぬ間に中国内サーバーの「fuckjp.js」を実行してしまう 3月に発生したWeb改ざんと，Webにアクセスしてきたエンドユーザーへの攻撃手法を，もう少し詳しく見てみよう（図2）。 図2●3月11～13日の攻撃の流れ （1）攻撃者は，SQLインジェクションを使って企業や団体のWebページを改ざん，悪意のあるJavaScriptへのリンクを挿入する。（2）Webページを閲覧したユーザーは，知らぬまにリンク先の悪意のあるJavaScriptを実行。（3）もしユーザーのパソコンにぜい弱性がある場合は，ウイルスなど不正プログラムに感染する。 [画像のクリックで拡大表示] 前述したように，まずはSQLインジェクション攻撃を使って企業や団体のWebサイトを改ざんする。改ざんといっても，昔のようにWebページをごっそり別のものに差し替えたり，なんらかのメッセージ文を表示したりするといったことではない
相次ぐWeb改ざん，いったい何が起こっているのか
2008年3月に入ってから，SQLインジェクション攻撃によるWeb改ざんが相次いでいる。例えば，セキュリティ対策ベンダーのトレンドマイクロは3月12日，同社のウイルス情報ページが改ざんされ，午前11時30分に同ページを閉鎖したことを発表した。実際にウイルス情報ページが改ざんされたのは3月9日の午後9時頃。同社はぜい弱性対策を施した後，13日午前8時30分からページ公開を再開した（関連記事）。 攻撃の標的になったのは，国内サイトだけではない。同様の手口による大規模Web改ざんが，世界中で確認された。米マカフィーは3月13日時点で，2万ページ近くのWebページが改ざんされたと推測した（関連記事）。 これらは，いったいどのような攻撃手法だったのだろうか。それについて，セキュリティ対策ベンダーのラックが説明会を開催した。この説明会については，ニュースとして記事化したが（関連記事），詳細についてはお
MOONGIFT: » SQLインジェクションを防ぐプロキシ「GreenSQL」:オープンソースを毎日紹介
※ 画像は公式サイトデモより。 DBを使ったWebアプリケーションが当たり前になり、その重要性は増す一方だ。万一、データが消失するような事態になったら、ビジネスに与える影響は計り知れない。 SQLインジェクションはDBに対する攻撃の一つだ。システムにバグがなければ良いが、それは起こってみてからしか分からない。予防措置をしいておこう。 今回紹介するオープンソース・ソフトウェアはGreenSQL、SQLインジェクションを防ぐDB用ファイアウォールだ。 GreenSQLはDBとWebサーバとのプロキシとして動作する。そして、その間で行われるSQL文を監視し、問題があるSQLを予め弾いてくれる。 対応しているDBはMySQLのみになる。ただ防ぐだけではなく、危ないものに対してはウォーニングログを残しておいてくれる。ログをチェックする事で、Webアプリケーションの強化も実施できる。 セキュリティ対策
第6回 意外に知られていないブラインドSQLインジェクション | gihyo.jp
前回の記事でSQLインジェクションの話は終わりにして、クロスサイトスクリプティングの話を書かせて頂こうと思っていました。しかし、6月5日に東京にて開催されたPostgreSQLカンファレンス2007でセキュリティをテーマに講演させて頂き、意外にブラインドSQLインジェクションをご存じでない方が沢山いらっしゃいました。40名ほどの聴講者の皆様にSQLインジェクションをご存じの方？とお聞きするとほぼ全ての方が知っていると答えたのですが、ブラインドSQLインジェクションをご存じの方は数名でした。 SQLインジェクションの常識 ブラインドSQLインジェクションの話をする前に、SQLインジェクションとその対策の常識について確認します。 SQLインジェクション対策として間違ってはいないが不十分な対策 エラーメッセージを表示しない（特にSQLエラー） ユーザ入力文字列をエスケープする これらはSQLイン
Google Code Search のアレな活用法が続々と | 秋元@サイボウズラボ・プログラマー・ブログ
Googleの一般検索でも、社外秘情報の入ったExcelを検索したらいろいろ出てきた(参考 、 公開Webサーバから機密情報を引き出す「Googleハッキング」の脅威と、その対策)といった話もあるし、つい最近はGoogle Calendarで明らかに公開情報じゃないいろんな人の予定が検索できるという指摘も話題になった。 ということで、昨日リリースされたGoogleコード検索でも、さっそく色々な「ヤバイ」指摘が。 kottke.org では以下のような検索例が 圧縮アプリケーションの暗号生成部分のソース パスワードを埋め込んだブログシステムのソース バッファーオーバーフロー脆弱性がありそうなソース 公開されるべきでない、と書いてあるソース 愚痴ったり、罵ったり、馬鹿にしたりというコメント 有名プログラマーの名前での検索 また、PHPのセキュリティといえばこの人の Chris Shiflett
［MySQLウォッチ］第27回 MySQL 5.0 および 4.1 にSQLインジェクションのセキュリティ・ホール
先日，MySQL 5.0 および 4.1 に関してSQLインジェクションの危険性に対応するためにバージョンアップが行われた。 SQLインジェクションとは，入力されたデータにより意図せざるSQL文が実行されてしまうという攻撃である。データベースのデータを書き換えられたり，データが読み出されることにより情報が漏洩したりする恐れがある。セキュリティ・ホールというとWebサーバーやWebアプリケーション言語の専売特許だという印象があるが，データベースにも存在する。十分な注意が必要である。 以下，SQLインジェクションの原理と，MySQLに存在した問題の詳細とその対応について解説する。問題の発見から修正にいたるやりとりはWeb上で公開されており，誰がいつ問題を指摘し修正したのかもたどることができる。 mysqli_real_escape_string()関数によるSQLインジェクションの防止 プログ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Microsoft Corporation
http://www.asahi.com/national/update/0524/TKY200505230341.html