Hatena Blog Tags
はてなブログ トップ
SQLインジェクション
このタグでブログを書く
言葉の解説
ネットで話題
関連ブログ

SQLインジェクション

(ウェブ)
【しーくえるいんじぇくしょん】

概要

　引数などのパラメタにSQL文を混ぜ込んでおき（インジェクション），プログラム内部でそのSQL文を実行させてしまう攻撃手法。
　ログインを突破したり、データ・データベースの削除やコンテンツの改ざん（ウイルス・ワームの埋め込み等）、情報の詐取など、被害はさまざま。管理者権限を奪取されることもある。

対策方法

  • 入力が許容される文字を制限する。
  • 特殊文字('、"等）をエスケープするなどして、入力文字列を無害化する
  • パラメータの指定方法を見直す（文字列の連結でSQL文を作成している場合は特に注意）
  • (言語にも拠るが)直接SQL文を作成せず、APIなどを用いる
  • ストアドプロシージャを使う。(PL/SQLなど)
  • 実行アカウントに不必要な権限を与えない(ロール・ユーザ管理)

別称

ダイレクトSQLコマンドインジェクション

このタグの解説についてこの解説文は、すでに終了したサービス「はてなキーワード」内で有志のユーザーが作成・編集した内容に基づいています。その正確性や網羅性をはてなが保証するものではありません。問題のある記述を発見した場合には、お問い合わせフォームよりご連絡ください。
ITエンジニアが仕事に対して思うこと•2ヶ月前

【過去問１０年分マスター講座】情報処理安全確保支援士試験完全解説！

[https://www.youtube.com/playlist?list=PLBEf19yigdPtrQ1um6eA-miw3AhBMN1hx:embed:cite] この試験全体を貫く最大の特徴は、「個別技術の知識量」よりも「技術を組み合わせて合理的に説明する力」が重視されている点にあります。午後問題、とりわけ午後Ⅰ・午後Ⅱでは、特定の脆弱性名や規格名を答えるだけではほとんど得点にならず、その技術がなぜ必要なのか、どのような攻撃を前提に導入され、導入しなかった場合に何が起こるのかを、状況設定に即して説明できるかが問われてきました。 Webアプリケーションセキュリティは、ほぼ全期間を通じて…

#SQLインジェクション#SAML#フレームワーク#DKIM#TPM#エンベロープ#フォレンジック#マルウェア#バッファオーバーフロー#OpenID

ネットで話題

もっと見る
1319ブックマークSQLインジェクション対策もれの責任を開発会社に問う判決ポイントは下記の通りです。 X社（原告）はセキュリティ対策について特に指示はしていなかった 損害賠償について個別契約に定める契約金額の範囲内とする損害賠償責任制限があった 当初システムはカード決済を外部委託し直接カード情報を扱っていなかった X社が「カード会社毎の決済金額を知りたい」とY社に依頼をして、...blog.tokumaru.org
1097ブックマーク【悲報】防衛省のワクチン予約システム 早速ネット民のおもちゃに「SQLインジェクションできる」「同じ番号入れるとその前の予約がキャンセル」【真偽不明】posfie.com
727ブックマークメタップス、不正アクセスやられ放題　最大46万件のカード番号やセキュリティコード流出か　バックドアやSQLインジェクションの痕跡見つかるwww.itmedia.co.jp
680ブックマークとある診断員とSQLインジェクションwww.slideshare.net
561ブックマーク今夜分かるSQLインジェクション対策 ― ＠ITatmarkit.itmedia.co.jp
492ブックマークSQLインジェクション対策不備の責任　東京地判平30.10.26（平29ワ40110） - IT・システム判例メモitlaw.hatenablog.com
486ブックマーク「SQLインジェクション対策」でGoogle検索して上位15記事を検証した - ockeghem's blogockeghem.hatenablog.jp
440ブックマークNode.jsのMySQLパッケージにおけるエスケープ処理だけでは防げない「隠れた」SQLインジェクション - GMO Flatt Security Blogblog.flatt.tech
422ブックマークXSSとSQLインジェクションの両方が可能なRFC5322適合のメールアドレスblog.tokumaru.org

関連ブログ

城咲子｜情報システム部セキュリティ担当のつぶやき（ぼやき）•3ヶ月前

WAF徹底解説：セキュリティ担当が教える仕組み、AWS vs Cloudflare比較と「誤検知」運用の核心

こんにちは、東証プライム企業で情報システム部のセキュリティ担当をしている、城咲子です。CISSPと登録セキスペの資格を持ち、日々「いかにしてビジネスを止めずに、セキュリティを担保するか」を考えています。 現代のビジネスにおいて、WebサイトやWebアプリケーションは「会社の顔」であり、同時に「収益の源泉」です。しかし、それらはインターネットという公道に常に晒されており、サイバー攻撃者にとって最も狙いやすい標的でもあります。 「うちはファイアウォール（FW）を入れているから大丈夫」 もし、まだそう考えているとしたら、その認識は非常に危険かもしれません。 本記事は、WAF（Web Applicat…

#WAF#AWS WAF#Cloudflare#セキュリティ#サイバー攻撃#SQLインジェクション#XSS#誤検知#過検知
シン・情報　新製品・新サービス情報など•7ヶ月前

7月事案：自治体向け電子申請システムがパスワードリスト攻撃され契約自治体の個人情報漏えい、他4件

お知らせ、プレスリリース等が公表されたセキュリティ事案について、一覧にしています。日付降順で上部に追記し、随時更新します。※リリースのリンク先が削除されていることがあります。 →ロゴのリンク先に、公表時のコピーを保存できている場合があります。※本日追加分 7月14日（月） トータルマリアージュサポート 不正アクセスによる個人情報漏えいの可能性に関するお詫びとお知らせ - 株式会社トータルマリアージュサポート | 婚活ならTMSグループ概要： 株式会社トータルマリアージュサポートが運営する婚活イベントサイトにおいて、2025年5月19日〜7月1日の間に不正アクセスが発生し、最大約91万人分の個人…

#セキュリティ事案#Security Incidents#不正アクセス#ランサムウェア#SQLインジェクション#トータルマリアージュサポート#TMS#啓林館#経済産業省#太平興業
every Tech Blog•8ヶ月前

トモニテで発生した SQL インジェクション攻撃の記録と教訓

はじめに こんにちは、トモニテで開発を担当している吉田です。 サービスを運営する上で、セキュリティ対策は欠かせません。 本記事では、実際にトモニテが受けた攻撃の事例をもとに、 異常検知から調査の経緯、攻撃の詳細、そして発見された問題点や今後の対応についてまとめています。 セキュリティリスク 現代の Web サービスにおいて、セキュリティリスクは多岐にわたります。代表的なものとしては、クロスサイトスクリプティング（XSS）、クロスサイトリクエストフォージェリ（CSRF）、ブルートフォース攻撃などが挙げられます。これらのリスクは、サービスの信頼性やユーザーの安全を脅かす重大な問題となり得ます。 中…

#セキュリティインシデント#SQLインジェクション
土日の勉強ノート•1年前

OWASP ZAPの自動スキャン結果の分析と対策：SQLインジェクション

「ハッキング・ラボのつくりかた 完全版 仮想環境におけるハッカー体験学習」と「体系的に学ぶ 安全なWebアプリケーションの作り方 第2版 脆弱性が生まれる原理と対策の実践」（通称：徳丸本）を参考に、セキュリティの勉強を進めています。 前回は、以前 に行った OWASP ZAP の自動脆弱性スキャンの結果の「クロスサイトスクリプティング（XSS）」について、分析と対策までやりました。 今回は、SQLインジェクションを見ていきます。 それでは、やっていきます。

#セキュリティ#徳丸本#脆弱性スキャン#OWASP ZAP#SQLインジェクション
The light of hope to the other side of the tunnel - Kotsu Kotsu To -•2年前

SQLi WAF Bypass Techniques Part 2 から学ぶ

ソース： infosecwriteups.com 脆弱性：SQLi 訳： 前回のセッションでは、主要なタイムベース SQL インジェクション WAF バイパスについて学習しました。 今回はさらに一歩進んで、他の SQL インジェクション タイプの WAF ルールを破ることを試みて。 いくつかの防御を実装できる他の方法と、それらを回避する方法を確認して。 守備側 すでに準備されているファイアウォールルールを使用して、防御側から直接始め。 ターゲットに応じて (セキュリティが強化されているかどうか)、高度な防御が導入されている可能性があって。 それは、プログラムのセキュリティ チームが保護層を追加…

#SQLインジェクション
The light of hope to the other side of the tunnel - Kotsu Kotsu To -•2年前

SQL Injection Bug Bounty POC! から学ぶ

ソース： medium.com 脆弱性：SQLインジェクション 訳： 数日前、私はバグ報奨金プログラムに参加しようとして、まだ実行され管理されているプログラムを検索しようとし。 ****プログラムを見つけ。 参考までに、ターゲットはヨーロッパの検索エンジンで。 グーグルか何かのように。 標的はフランスだと。 スコープは: *.xxxx.com さて、本題に移り。 脆弱性は api.xxx.com にあることがわかり。 これはBurp で得た生で。 GET /api/trend/get?locale=en_GB&device=desktop&uiv=4 HTTP/1.1Host: api.xxx…

#SQLインジェクション
The light of hope to the other side of the tunnel - Kotsu Kotsu To -•2年前

Tricky Oracle SQL Injection Situation から学ぶ

ソース： blog.yappare.com 脆弱性：SQLインジェクション 訳： 最近、侵入テスト中に見つかった SQL インジェクションを解決するときに、いくつかの新しいこととバグバウンティを学び。 私にとって新しいと思われる新しいテクニックの 1 つは、師匠の pokleyzz から学んだもので。 この挿入は最近のバグ報奨プログラムで発見され、実際のパス/パラメータが置き換えられ。 インジェクションは次のエンドポイントの「idNumber」パラメータで見つかりました /foo/?theName=YAP&idNumber=248001[ここ] このターゲットでは一般的なペイロードが実行され、…

#SQLインジェクション
The light of hope to the other side of the tunnel - Kotsu Kotsu To -•2年前

Logical MSSQL Error-Based Injection Vulnerability on Private Program から学ぶ

ソース： medium.com 脆弱性：SQLインジェクション 訳： 導入： 最近、プライベート プログラムに参加しているときに、特定のエンドポイントで重大なセキュリティ脆弱性を発見しました。これを「 https://evil.com/path/test.aspx 」と呼びます。この脆弱性は、論理 MSSQL エラーベースのインジェクションは、プラットフォームのセキュリティに重大な脅威をもたらしました。 発見： エンドポイントにアクセスするとhttps://evil.com/path/test.aspx というエラー メッセージが表示され 、「 Incorrect syntax near ‘=…

#SQLインジェクション#MSSQL