- 締切済み
複文によるSQLインジェクションを防ぐには
複文によるSQLインジェクションを防ぐには、ユーザー入力値から「;(コロン)」を除去すればOKでしょうか？ ご存知の方がいらっしゃいましたら教えてください。 よろしくお願いいたします。
- kinmojr
- お礼率82% (129/156)
- PostgreSQL
- 回答数1
- ありがとう数6
- みんなの回答 （1）
- 専門家の回答
みんなの回答
- inu2
- ベストアンサー率33% (1229/3720)
たとえば、 SELECT column1, column2 FROM table WHERE id = '(ここに値を入力)' という文があったとします この場合 (ここに値を入力) の部分に ' OR 1=1 OR id =' と入力されたらどうなりますでしょうか SELECT column1, column2 FROM table WHERE id = '' OR 1=1 OR id ='' こうなりますね さて、どうしましょう・・・ (＊これは具体的な回答ではありません、自分で考えてみてください)
関連するQ&A
- SQLインジェクションについて
SQLインジェクション対策についてご質問があります。 SQLを入力してそのまま実行するプログラムを作ろうとしています。 ユーザーが入力したSQLをプログラム側でSQLインジェクションを含むかどうかの判定が できるようにしたいのですが、可能なのでしょうか？ よろしくお願い致します。
- 締切済み
- その他（プログラミング・開発）
- XSS、CSRF、SQLインジェクションについて
XSS、CSRF、SQLインジェクションをそれぞれ簡単に説明すると、 XSS・・・動的なWebサイトにおける入力フォームの脆弱性 CSRF・・・ユーザーになりすましてWebサーバーにリクエストすること SQLインジェクション・・・アプリケーションが実行するSQL文に変なものを注入して、意図しない 動作をさせる攻撃のこと で正しいですか？
- ベストアンサー
- その他（プログラミング・開発）
- SQLインジェクションの対策
SQLインジェクションの対策 いつもお世話になっております。 SQLインジェクションの対策についてお伺いいたします。 もともと↓のようなSQL文だったものを "select user_id from table where user_id='{$user_id}'" 以下のように変更しました。 "select user_id from table where user_id='" . mysql_real_escape_string($user_id) . "'" 以下のように実行されていたSQL文は select user_idfrom table where user_id='10001' and 'a'='a' ↓のようにエスケープ処理して実行されるようになりました。（入力値は「10001' and 'a'='a」） select user_id from table where user_id='10001\' and \'a\'=\'a' ですが、phpMyAdminで実行してみるとどちらのSQL文も同じ結果が取得できてしまいます。 これでは対策になっていないと思ったので、質問させていただきました。 （magic_quotes_gpcはoffに設定しています。） なにか他の方法がいいのでしょうか。 ご教示よろしくお願いいたします。 ＜環境＞ PHP 5.1.6 MySQL 5.0.45
- ベストアンサー
- PHP
- PHPのSQLインジェクションはsprintf？
PHPのSQLインジェクションですが、sprintf内でクォートをしてあるとそれで大丈夫なのでしょうか？ 以下のようなコードがあり、nameは画面入力なのでSQLインジェクションが起こるのでは？ と作成者に確認したところ、"%s"してあるから大丈夫との返事をもらいました。 ネット調べるとmysql_real_escape_stringでエスケープしてから"%s"で変換すれば大丈夫といった内容は見つけたのですが、mysql_real_escape_stringなど不要との返事をもらいました。 なぜ？と聞くとそういうものだとしか回答がありません。 sprintf('UPDATE users SET name = "%s" WHERE id = %d', name, id); 結局上記のコードでSQLインジェクションは解消されているのでしょうか？
- ベストアンサー
- PHP
- SQLインジェクション対策
Webアプリにて入力フォームからのSQLインジェクション対策を行いたいと思っているのですが その１つとしてpreparedstatement SQLを使用することを考えています。 これを使用すればシングルクォーテーションを使った 悪意のあるSQL文を挿入されることが防げると思うのですが他に何か考慮することって あるのでしょうか。
- ベストアンサー
- Java
- SQLインジェクションについて質問です
よくSQLインジェクションの攻撃で、改竄されたWEBページからウイルスを仕込まれた。 等という話を耳にしますが、この攻撃でどうやって改竄するのですか？ 私が知ってる範囲だと、この攻撃では入力フォームに必ず条件マッチするようなSQLを入れて 情報を取り出したり、DBの情報を書き換えたり、情報を消したりくらいしか出来ない気がするのですが・・ あと、SQLインジェクションの紹介でよく見る、ログイン画面で「' 1=1;--」みたいな入力は誰でも思いつくと思うのですが、DBの情報を書き換えたり消したりするのって そのDBのカラム名とかが分からないとできないですよね。 攻撃者はこれらを推測して行っているのですか。 それともカラム名とかを知り得る攻撃手法があるのでしょうか。 また、SQLインジェクションとは関係ないのですがXSSという攻撃手法もありますよね。 こっちはクッキー情報を盗まれるのが一番大きな被害とありますが クッキー情報を盗まれると具体的に何がまずいのでしょうか。 サーバー側でクッキーに個人の名前とかメアドとかを入れてる場合があるという事ですか？
- 締切済み
- MySQL
- SQL インジェクションは PQexecParams で防げますか？
お世話になっております。商用のサーバーを運営しているものです。 最近私が運営しているサーバーでチャットをやることになっているのですが、できればワイセツなどの禁止用語以外は自由にしたいのですが、そうするとSQLインジェクションの心配があります。それで、ユーザーが入力した文字列を扱う部分を PQexecParams を使ってデータベースに入れようと思っているのですが、これだけで問題は解決できますか？ これでも危険な攻撃を受けるケースがあるならばお教えください。
- ベストアンサー
- PostgreSQL
- MySQLとPostgreSQLについてのSQLインジェクション
はじめて質問させていただきます。 よろしくお願いします。 現在、私は大学の研究テーマでデータベース（MySQL、PostgreSQL）を使っているCGIを自作し、それぞれのデータベースについてSQLインジェクションの脆弱性について調べる、という研究を行っています。 ブラインドSQLインジェクションについて調べているのですが、 PostgreSQLの場合、pg_tablesというテーブルにデータベースのテーブル一覧表がのっていて、それを参照することでテーブル名が取得でき、いろいろ悪いことができてしまいますが、MySQLの場合、ブラインドSQLインジェクションを起こそうと思った場合どのようなコマンドを使えばよいのでしょうか？ SHOW TABLESで使用中のデータベースのテーブル一覧は取得できますが、それをクエリの一部として使うことはできるのでしょうか・・・？ また、全く関係ない質問なのですが、このCGIはRubyで記述して作りました。Rubyにはプリペアドステートメントという機能があるのですが、これをデータベースにアクセスするすべての箇所で用いればSQLインジェクションは100%起きないといえるのでしょうか？（現在考え得る範囲でよいのでお願いします） 卒論で困っているので知っている方がおられましたらどうかよろしくお願いいたします。
- ベストアンサー
- その他(データベース)
- ＳＱＬインジェクション対策（クオーテーション関連
PHP Version 5.4.7の環境にて。 SQLite3::escapeStringを使って、 ＳＱＬインジェクション対策をしようと考えています。 HTMLの<form>からPOSTで値を受け取り、 その値をＳＱＬ文に入れ込み、 そのクエリ（※ちなみに、INSERTのみです。）をSQLite3のＤＢに対して行う、 なんてことをする際の、 ＳＱＬインジェクション対策として、お考え下さい。 ＰＯＳＴで受け取る値に入っていたら危険なものとして、 「シングルクオーテーション」が、まず、挙げられるかと思います。 「'」 ←これです。 さて、「"」 ←こちらはダブルクオーテーションですが、 こちらのダブルの方はエスケープする必要は無いのでしょうか？ （例）※wikipediaより SELECT * FROM users WHERE name = '（入力値）'; SELECT * FROM users WHERE name = 't' OR 't' = 't'; → このSQL文では条件が常に真となるため、 nameカラムの値にかかわらず、全レコードが選択される。 → ということで、入力値に、 エスケープされていない「シングルクオーテーション」をそのまま使うのはＮＧ。 ここまではＯＫです。 では、次に、ダブルクオーテーション版で、 SELECT * FROM users WHERE name = "（入力値）"; SELECT * FROM users WHERE name = "t" OR "t" = "t"; こちらはどうなのでしょうか？ （シングルをダブルに変えただけですが。） ---------- ちなみに、 SQLite3::escapeString にて、 （１） $var = "Let's"; //←シングルクオーテーション $db = new SQLite3(':memory:'); $escaped_var = $db->escapeString($var); echo $escaped_var; //Let''s と表示される （「 ' 」が１つ追加される。） （２） $var = 'Let"s'; //←ダブルクオーテーション $db = new SQLite3(':memory:'); $escaped_var = $db->escapeString($var); echo $escaped_var; //Let"s と表示される （何も追加されず。） というように、 シングルクオーテーションはエスケープされるが、 ダブルクオーテーションの方ではエスケープされませんでした。 これは、つまり、 ダブルクオーテーションの方は危険視されていない、 ということだと思いますが、 でも、本当にダブルクオーテーションをエスケープせずに、 そのまま、ＳＱＬ文につっこんでも大丈夫なのでしょうか？
- ベストアンサー
- PHP
- SQLインジェクションの危険性について[MYSQL]
下記のコードはPHPプログラマ一年生の自分から見ても、 POST入力値をチェックしていない危険なコード(一部を抜粋)だと 思うのですが先輩は問題ないと言い、修正する気がありません。 そこで、SQLインジェクションのようなSQL文を送信された場合に ユーザー名とパスワードが表示されれば納得すると思い いろいろテストしてみたのですが、うまく表示されません。 実はSQLインジェクションなどの問題ないソースなのでしょうか？ ご教授、よろしくお願いいたします。 ■テーブル構成（ユーザ・パスワード管理テーブル） CREATE TABLE `sample`.`test` ( `user_id` INT NOT NULL , `passwd` VARCHAR( 32 ) NOT NULL ) ■問題の処理分 <?php $user_val = "" ; $pass_val = "" ; if (isset($_POST["user_id"]) == TRUE) { $mysql_c = mysql_pconnect('******' , "******" , "******"); mysql_select_db("******" , $mysql_c); $sql = 'select * from test where user_id = ' . $_POST["user_id"] ; $result = mysql_query($sql , $mysql_c); if ( $result != false) { if(($row = mysql_fetch_object($result)) != false ) { // パスワードチェック if ( $row->passwd != $_POST["pass"] ) { echo "check NG" ; } else { $user_val = $row->user_id ; $pass_val = $row->passwd ; } } } } ?> <FORM action="index.php" method="post" > <input type="text" name="user_id" value="<?php echo $user_val ?>" > <input type="text" name="pass" value="<?php echo $pass_val ?>" > <input type="submit"> </FORM>
- ベストアンサー
- MySQL
補足
すみません、私の書き方がまずかったのですが・・・。 SQLインジェクションを防ぐためにはクォテーション文字はエスケープする必要があると思いますが、今回は質問の意図を明確にするために複文によるSQLインジェクション以外は考慮していません。 複文によるSQLインジェクションという意味では、「;(コロン)」の除去でOKでしょうか？