[B! sql][security] tyruのブックマーク

tyru id:tyru

sqlとsecurityに関するtyruのブックマーク (3)

とある診断員とSQLインジェクション
乗っ取れコンテナ！！開発者から見たコンテナセキュリティの考え方（CloudNative Days Tokyo 2021 発表資料）
tyru 2014/06/01
「テスト環境用意してもらえない→本番環境で脆弱性チェック→SQLインジェクションの脆弱性が有り全ユーザーのパスワードリセット」つらい…

security

sql
リンク
SQLインジェクション対策に正解はない
最近、SQLインジェクションのネタが盛り上がってるようだ。下記のTogetterまとめあたりが震源地だろうか。「プリペアードクエリが基本だけど、動的に SQL を組み立てる場合もあるから、そういう場合に備えてエスケープも知っておいたほうがいいかも」 - Togetterまとめまとめを読んだ感想としては、「どちらの意見も間違ってはいない」というものだ。前提あるいは見方が異なるために、見解の相違が生じているだけのように思う。SQLインジェクションについては私も若干思うところがあるので意見を書いておこうと思う。攻撃を防ぐのは難しいSQLインジェクションをはじめとするセキュリティ対策が難しいのは、ひとつでも穴があると致命的なダメージを受け得るということだ。「どうやって効率よくコードを書くか」とか「コードのメンテナンス性を高めるにはどう書くべきか」みたいな議論とは全く質が異なる議論が必要になっ
tyru 2014/03/30
いくつか追加条件を指定できる検索画面では組み立てていくしかないって話／ライブラリ(O/Rマッパー)での対処例としてはこういうのがいいと思う http://doma.seasar.org/reference/sqlfile.html#条件コメント

db

sql

security
リンク
MySQLのサイトにSQLインジェクション攻撃
MySQL.comがSQLインジェクション攻撃を受け、ユーザーの情報が流出したとセキュリティ企業Sophosが伝えている。攻撃者はMySQL.comからユーザー名とパスワードハッシュを取得し、ネットに投稿した。この攻撃者はMySQLの親会社であるOracleのサイトSun.comもハッキングし、テーブルや電子メールアドレスをオンラインに公開している。 Sophosの上級セキュリティアドバイザー、チェスター・ウィスニウスキー氏は、「MySQLソフトの脆弱性ではなく、これらWebサイトの実装に問題があるようだ」とし、Webサイトの監査とセキュアなパスワードの使用が不可欠だと述べている。
tyru 2011/03/30
security

mysql

SQL

!share-with

!tumblr-tech
リンク
1