徳丸浩の日記 - 複文が利用できるデータベースの調査 - ... ノウハウ(Tips)  

こんにちは ゲスト さん | ログイン | ヘルプ | okyuu.com Feed Feed

総合トップ / ノウハウ / データベース ノウハウ / SQL Server ノウハウ / 徳丸浩の日記 - 複文が利用できるデータベースの調査 - ...

20080502

SQLインジェクション対策はおすみですか? 開発開始時点からのコンサルティングから、公開済みWebサイトの脆弱性検査、 脆弱性発見後の適切な対策まで SQL Serverが狙われるには理由がある SQLインジェクションを利用したWebサイトの改ざん事件が頻発している。標的となったサイトの多くがIIS(ASP)とSQL Serverの組み合わせを利用していることから、今回の攻撃がIISやSQL Serverの脆弱性を利用したものだと言う報道があるらしい。 これに対して、マイクロソフトが反論している。...

  • コメント数 (2)
  • クリップ数 (1)
  • アクセス数 (2720)

SQL Serverは大抵の言語から複文が利用できるため、狙われやすいというお話。

SQLインジェクションってDBの問題ではなく、プログラムのコーディングの問題ですよね。
ユーザリクエスト文字列をパラメタライズドクエリー使わず、そのままDBに投げるのが悪い。


コピペする ブログに貼る
string query = string.format( "select * from account where password ='{0}'", this.TextBoxPassword.Text );
上みたいなコード書いてるアプリケーションあったらインジェクションされて当然。

確かに仰ってる通りなんですが元記事の焦点はそこではなく、
DBごとに内部実装は異なっていて複文が扱えるSQL Serverは特に注意が必要ですよ、という話かと思います。

0
0
コメント
0
0
コメント
0
1
コメント
あなたの問題は解決しましたか?

okyuu.comはITエンジニアのための質問サイトです。あなたの質問に答えてくれるエンジニアがいるかもしれません。なんと回答率は89

はじめての方へ

関連製品情報

開発元 マイクロソフト
概要 Microsoftが開発するリレーショナルデータベース管理システム(RDBMS)。アプリケーション開発やテスト、評価などの目的で利用できる。
開発元 マイクロソフト
概要 Microsoftが開発するリレーショナルデータベース管理システム(RDBMS)。2008年9月にリリースされたSQL Server 2008の4CPU以下のサーバ向け。
開発元 マイクロソフト
概要 Microsoftが開発するリレーショナルデータベース管理システム(RDBMS)。SQL Server 2000は2000年10月にリリースされ、Wind「Windows DNA 2000」のデータ層を担う中核製品と位置付けられていた。
開発元 マイクロソフト
概要 Microsoftが開発するリレーショナルデータベース管理システム(RDBMS)。SQL Server 2000は2000年10月にリリースされ、Wind「Windows DNA 2000」のデータ層を担う中核製品と位置付けられていた。
開発元 マイクロソフト
概要 Microsoftが開発するリレーショナルデータベース管理システム(RDBMS)。SQL Server 2000は2000年10月にリリースされ、Wind「Windows DNA 2000」のデータ層を担う中核製品と位置付けられていた。

カテゴリ

特集

okyuu.comポイントレース中間発表 okyuu.comポイントレース中間発表
まだまだ間に合う!okyuu.comポイントレース 抽選で3名様に、すてきな商品をご用意しています。
okyuu.comポイント獲得を競って、話題の賞品をゲットしよう! okyuu.comポイント獲得を競って、話題の賞品をゲットしよう!
新しい評価指標「okyuu.comポイント」を多く獲得して、話題の賞品を手に入れよう!
ソフトウェアを公開するのが楽しい 岡野真也さん ソフトウェアを公開するのが楽しい 岡野真也さん
ソフトウェアを公開するのが面白くてたまらない。作っては公開というのが彼のやり方だが、若きエンジニアにとってはそれくらいがちょうどいいのかもしれない。
コンピュータは世界を広げる実験道具 西尾泰和さん コンピュータは世界を広げる実験道具 西尾泰和さん
プログラミング、サイエンス、デザイン マルチな彼にとって、コンピュータは未知の世界を広げるための道具であることに変わりはない。今後の展開が楽しみだ。
理想のOS開発に人生を賭ける 川合秀実さん 理想のOS開発に人生を賭ける 川合秀実さん
OSASK計画代表の川合さんは、人生の1秒を惜しみながら独自OSの開発にいそしむ。
「楽しむ」それが豊かなエンジニアになるコツ 坂井恵さん 「楽しむ」それが豊かなエンジニアになるコツ 坂井恵さん
日本MySQLユーザ会の副代表を務める坂井恵さん。技術の現場で会社運営に興味を持ち、独立起業の道を選んだエンジニアだ。
夢はエンジニアに強い影響を与える本を書くこと 松信嘉範さん 夢はエンジニアに強い影響を与える本を書くこと 松信嘉範さん
ソニーの情報シスから日本を代表するMySQLのコンサルタントに。彼が魅せられたオープンソースの世界とは?
お友達紹介機能をつかってポイントGET! お友達紹介機能をつかってポイントGET!
お友達を招待してみんなでokyuuポイントをGETしよう!
オープンソースの活動「すごく、いい」 前坂徹さん オープンソースの活動「すごく、いい」 前坂徹さん
オープンソースプロジェクトで活躍する若き新鋭。コミュニティ活動の感想を尋ねると「すごく、いい」と満面の笑み。
コンピュータは創造力を刺激する 奥一穂さん コンピュータは創造力を刺激する 奥一穂さん
天才エンジニアとしての国際的な評価も高い奥一穂さん。世間からのスマートだとの評価には「自分は広く浅くだから」とさらり。
25歳からプログラミング「泣きながら覚えた」 庄司嘉織さん 25歳からプログラミング「泣きながら覚えた」 庄司嘉織さん
25歳でプログラマーに転向した。いまやjava-jaを立ち上げるなど精力的なエンジニアだ。
Rails勉強会@東京は“キャスト”の気持ちで 諸橋恭介さん Rails勉強会@東京は“キャスト”の気持ちで 諸橋恭介さん
大学時代、偶然手にしたMacが諸橋さんにITエンジニアの道を開いた。
"シャイモード"機能を活用しよう! "シャイモード"機能を活用しよう!
こんな質問してもいいのかな?そんなときは"シャイモード"で投稿!
RX-7とサーバ運用の意外な共通点 並河祐貴さん RX-7とサーバ運用の意外な共通点 並河祐貴さん
Amazon EC2を巧みに使いこなすTIS/SonicGardenの並河さん。「腕一本で食べていきたい」とITエンジニアを目指した。
「ブラックボックスは不安でしょ」 ひろせまさあきさん 「ブラックボックスは不安でしょ」 ひろせまさあきさん
エンジニアが楽しくて仕方がない。オープンソースを組み合わせてシステムを作り上げるのが彼の矜持のようだ。
Perlの地位向上を胸に 牧大輔さん Perlの地位向上を胸に 牧大輔さん
endeworksの牧大輔さんは社団法人JPAを立ち上げ、Perlの企業利用を促進したいという。
偶然からCTOへ ライブドアCTO池邉智洋さん 偶然からCTOへ ライブドアCTO池邉智洋さん
池邉智洋さんはライブドアCTOの技術メンバーを先頭で率いる。「まずはやって見せることも大事」と語る。