• 締切済み

SQLインジェクションの攻撃方法

SQLインジェクションの攻撃方法を教えて下さい。 自分で自分のサイトを攻撃してみようと思ってます。 実際攻撃されたらどうなるか現実をみてみたいです。 自分で調べてみて下記を見つけました。 http://d.hatena.ne.jp/nagakura_eil/mobile?guid=on&date=20090419

みんなの回答

  • Lchan0211
  • ベストアンサー率64% (239/371)
回答No.1

あなたが見つけた http://d.hatena.ne.jp/nagakura_eil/mobile?guid=on&date=20090419​ のサイトに、SQLインジェクションの具体的な攻撃方法が書かれていますが、何を質問したいのでしょうか?

  1. カテゴリ
  2. [技術者向] コンピューター
  3. ITシステム運用・管理
  4. ネットワーク

関連するQ&A

  • SQLインジェクションについて質問です

    よくSQLインジェクションの攻撃で、改竄されたWEBページからウイルスを仕込まれた。 等という話を耳にしますが、この攻撃でどうやって改竄するのですか？ 私が知ってる範囲だと、この攻撃では入力フォームに必ず条件マッチするようなSQLを入れて 情報を取り出したり、DBの情報を書き換えたり、情報を消したりくらいしか出来ない気がするのですが・・ あと、SQLインジェクションの紹介でよく見る、ログイン画面で「' 1=1;--」みたいな入力は誰でも思いつくと思うのですが、DBの情報を書き換えたり消したりするのって そのDBのカラム名とかが分からないとできないですよね。 攻撃者はこれらを推測して行っているのですか。 それともカラム名とかを知り得る攻撃手法があるのでしょうか。 また、SQLインジェクションとは関係ないのですがXSSという攻撃手法もありますよね。 こっちはクッキー情報を盗まれるのが一番大きな被害とありますが クッキー情報を盗まれると具体的に何がまずいのでしょうか。 サーバー側でクッキーに個人の名前とかメアドとかを入れてる場合があるという事ですか？

  • XSS、CSRF、SQLインジェクションについて

    XSS、CSRF、SQLインジェクションをそれぞれ簡単に説明すると、 XSS・・・動的なWebサイトにおける入力フォームの脆弱性 CSRF・・・ユーザーになりすましてWebサーバーにリクエストすること SQLインジェクション・・・アプリケーションが実行するSQL文に変なものを注入して、意図しない 動作をさせる攻撃のこと で正しいですか？

  • SQLインジェクション対策

    SQLインジェクション対策を考えています。いろいろ検索しましたが漠然とした内容ばかりで参考になりません。具体例、攻撃方法を教えてください。現在は　'　のみを排除しています。改行などは有効でしょうか？関数化するつもりですがどういう文字列を対象とすればいいか教えてください。

  • SQLインジェクションが発生する理由

    初めての質問です。よろしくお願いします。 今現在、SQLインジェクションというものが問題になっていますよね いろいろなサイトを回って調べて見たのですが、具体的な対策として、「'（シングルクォーテーション）」などの特殊文字を確実にエスケープすること、くらいしか対策が書かれておりません。 特殊文字のエスケープさえしっかりしておけばSQLインジェクションは発生しない、という印象を受けたのですが、SQLインジェクションがおきてしまったサイトではエスケープ処理をしていなかったということなのでしょうか？ それとも、エスケープ処理をしていても何らかの方法で不正なSQLの命令を実行されてしまうのでしょうか？ どうにもわからなくて困っているので、どうかよろしくお願いいたします。

  • prepareでSQLインジェクション対策？

    PHPでMySQLを操作しています。 PDOのprepare()を使えば（プレースホルダを使えば？）、SQLインジェクションは必ず発生しないと言えますか？ もし、そうだとすれば、SQLインジェクション対策はかなり簡単ですよね？でも、セキュリティの話でよく取り上げられるということは、実際は他の問題が発生したりするんですかね？

    • ベストアンサー
    • PHP
  • PreparedStatementを利用するとSQLインジェクションの対策になるのか？

    会社の同僚からＤＢの更新時は StatementではなくPreparedStatementを使えと言われました。 それがSQLインジェクション対策になるというのですが Javadocを見てもSQLインジェクションの話は書かれていませんし 同僚も明確な回答ができなかったので いまいち腑に落ちないでいます。 そこでお聞きしたいのですが、ＤＢの更新時に PreparedStatementを使用すると防ぐことができて Statementを使用すると防ぐことができない攻撃パターンとは 具体的にどのようなものが考えられるのでしょうか？

  • SQL インジェクションは PQexecParams で防げますか？

    お世話になっております。商用のサーバーを運営しているものです。 最近私が運営しているサーバーでチャットをやることになっているのですが、できればワイセツなどの禁止用語以外は自由にしたいのですが、そうするとSQLインジェクションの心配があります。それで、ユーザーが入力した文字列を扱う部分を PQexecParams を使ってデータベースに入れようと思っているのですが、これだけで問題は解決できますか？　これでも危険な攻撃を受けるケースがあるならばお教えください。

  • SQLインジェクション

    SQLインジェクション対策の為、DB(postgresql8.0.4)登録の際に今まではaddslashesを使用し実装していたのですが、それではwebサイトの脆弱性の為使われないと言う事で、pg_escape_stringを使い変更したのですが、pg_escape_stringは基本的にDBとconnectしていない限り使えないのでしょうか？

    • ベストアンサー
    • PHP
  • SQLインジェクション？を解読したい

    アクセスログに下記のようなクエリ文字列が残っていました。 （本来のアドレス）+AND+1=2+UNION+SELECT+0x6461726b3063306465,0x6461726b3163306465, 0x6461726b3263306465,0x6461726b3363306465,0x6461726b3463306465, 0x6461726b3563306465,0x6461726b3663306465,0x6461726b3763306465, 0x6461726b3863306465,0x6461726b3963306465,0x6461726b313063306465, 0x6461726b313163306465-- ※本来は一行ですが、適当に改行しています。 これはSQLインジェクション攻撃だと思いますが、解読して具体的に何がしたかったのか知りたいです。 しかし、0xで始まる部分をどう解読すればいいのかわかりません。 http://hogehoge.tk/tool/ このページで色々試してみましたが、できませんでした。 よろしくお願いします。

  • SQLインジェクション事件について

    私は一介の事務ユーザーにすぎませんが、職場で他にパソコンのことがわかる人がいないので、あれこれ頼られてしまい少々重荷の毎日です。 先般大きなニュースで一般市民にもすっかり有名？になってしまったSQLインジェクションのことについて、ちょっと教えて下さい。 他の掲示板サイトで、事件の原因はマイクロソフト製ウインドウズOSと、マイクロソフト製SQLサーバーの欠陥が相乗的に生み出したセキュリティホールだから、他社製品で組まれたシステムなら大丈夫だ、と教わりました。 私はSQLのことをよく知らないのですが、調べてみると言語としてSQLは標準化されていると解説されているので、どこのメーカーのシステムでもSQLサーバーは普遍的に対策が必要ではないかな？と思ってしまったのですが、本当にマイクロソフト製品だけの問題でしょうか？ （それとも、価格.comと静岡新聞サイトで犯人が使った「あの手口」に限ってマイクロソフトの欠陥責任だったのでしょうか？） 自分なりにIT関連のWEB記事バックナンバーを色々当ってみましたが、これについてweb上で報道されている物はちょっとみつかりませんでした。 どなたかどうぞよろしくおねがいします。

注目のQ&A

カテゴリ

専門家に質問してみよう

職業から探して質問する

あなたにピッタリな商品が見つかる！ OKWAVEセレクト

質問する