���邱���킩����S��SQL�̌Ăяo�����@�` ���؍_�����ɕ����Ă݂��FSecurity&Trust �E�H�b�`�i60�j

» 2010�N06��25�� 10��00�� ���J
[�����C��IT]

�@�u���S��SQL�̌Ăяo�����v�Ƃ���SQL�̃Z�L�����e�B�ɏœ_�𓖂Ă��h�L�������g���A2010�N3����IPA�i�Ɨ��s���@�l��񏈗����i�@�\�j������J���ꂽ�B

�@�����2006�N1������񋟂���Ă���AWeb�T�C�g�J���҂�^�c�Ҍ����̃Z�L���AWeb�T�C�g�\�z�̂��߂̎����u���S�ȃE�F�u�T�C�g�̍����v�̕ʍ��Ƃ��ď����ꂽ���̂ł���B�u���S�ȃE�F�u�T�C�g�̍����v��92�y�[�W�Ȃ̂ɑ΂��āASQL�C���W�F�N�V�����ɂ‚��Ă�����40�y�[�W���̕��ʂ�����B�Ȃ�����Ȃɕ������̂��낤���B

�y�Q�l�z

��񏈗����i�@�\�F���Z�L�����e�B�F�Ǝ㐫�΍�F���S�ȃE�F�u�T�C�g�̍���

http://www.ipa.go.jp/security/vuln/websecurity.html


�@���̃h�L�������g�쐬�ɋ��͂����Ƃ����A�Ɨ��s���@�l�Y�ƋZ�p���������� ���Z�L�����e�B�����Z���^�[�̍��؍_�����ɂ��b���f�����Ƃ��ł����B���؎��͌l�u���O�u���؍_��������̓��L�v�ŁA�Z�L�����e�B�֘A�̖���Nj�����_�q�Ƃ��Ă��m���Ă���B�M�҂��ȑO�A���̘A�ڂ́u����킩��SQL�C���W�F�N�V�����΍��v�̉�i2006�N11�����J�j�Łu�܂����邩�B�v�ƊԈႢ���������w�E���ꂽ�ꂢ�v���o������B

�@����͎�ނƂ����������ŁA3�N���Ԃ�Ɂu����킩��SQL�C���W�F�N�V�����΍��v�̒����L�������͂�����B

�܂����_�Ƃ��āASQL�C���W�F�N�V������h�����߂̑΍�Ƃ́H

�uSQL��prepared statement�i�v���y�A�h�E�X�e�[�g�����g�A�������ꂽ���j���g�����Ƃł��v�i���؎��j


�Ɨ��s���@�l�Y�ƋZ�p���������� ���Z�L�����e�B�����Z���^�[ ���؍_���� �Ɨ��s���@�l�Y�ƋZ�p���������� ���Z�L�����e�B�����Z���^�[
���؍_����

�@SQL�̎��s�́ASQL�����\����͂����ƂƁA��������߂����Ƃɕ������B�v���y�A�h�E�X�e�[�g�����g�Ƃ����̂́A���̍\����͂�DBMS���Ő�ɍς܂��Ă����A�����Ƀp�����[�^�𓖂Ă͂߂ČJ��Ԃ��g�����ƂŁA�������������߂邽�߂Ɋ��p�������̂��B

�@�v���y�A�h�E�X�e�[�g�����g���g�p���Ă���΁A�ǂ�ȃp�����[�^���^�����Ă��\����͕͂ς��Ȃ��̂ŁA���ʓI��SQL�C���W�F�N�V�����ɂ����SQL���̍\�����j�󂳂�邱�Ƃ͋N���Ȃ��B

�@�u���S��SQL�̌Ăяo�����v�ł́A�v���y�A�h�E�X�e�[�g�����g�̂��Ƃ��u�ÓI�v���[�X�z���_�v�ƌĂ�ł���B�u�v���[�X�z���_�v�Ɋ֘A����@�\�͌Ăі������܂��܂ŁA�u�o�C���h�@�\�v�ƌĂ΂�邱�Ƃ�����B�܂��A�ꕔ�̌���‹��ł́A���O�̍\����͂��s��Ȃ����́A�‚܂�A�����������́u�Ȃ񂿂���ăv���y�A�h�E�X�e�[�g�����g�v���u�v���y�A�v�ƌĂ΂�Ă��邱�Ƃ������āA�����������Ă���Ƃ����B

�@SQL�C���W�F�N�V�����΍�Ƃ��čl����ꍇ�A�o�C���h���邱�Ƃ��{���ł͂Ȃ��A�o�C���h����ꏊ�u�v���[�X�z���_�v��p�ӂ��邱�Ƃ��{���ł��邱�Ƃ���A�u�v���[�X�z���_�v�̗p��œ��ꂷ�邱�Ƃɂ����B�����āA�^�̃v���y�A�h�E�X�e�[�g�����g�̂��Ƃ��u�ÓI�v���[�X�z���_�v�ƌĂсA�Ȃ񂿂���ăv���y�A�h�E�X�e�[�g�����g�̂��Ƃ��u���I�v���[�X�z���_�v�ƌĂ�Ő������Ă���B

�@�ÓI�v���[�X�z���_�͌����I��SQL�C���W�F�N�V�������������Ȃ����̂ł���̂ɑ΂��A���I�v���[�X�z���_�ł́A�\��������Ǝ㐫��������̂�����̂Œ��ӂ��K�v���Ƃ����B���̐Ǝ㐫�ɂ‚��Ắu���S��SQL�̌Ăяo�����v�ɏڍׂ��L����Ă���B

�{�R������42��u����킩��SQL�C���W�F�N�V�����΍�v�ɂ‚���

�u�ŏ��ɏ����Ă��������Ƃ̓q�h�������v�i���؎��j


�@�M�҂͓����ASQL�C���W�F�N�V�����΍�Ƃ��āA������A���ɂ��SQL���̑g�ݗ��ĂŃG�X�P�[�v����������@�������Ă������A�v���[�X�z���_�ɂ‚��ď����Ă��Ȃ������B����͓����̕M�҂̗���s���ɂ����̂��B

�@������A���ł̃G�X�P�[�v������SQL�C���W�F�N�V�����΍�ɂ͂Ȃ邪�A�g�p����DBMS�ɂ���ăG�X�P�[�v���K�v�ȕ������قȂ�ȂǁA�Ђƌ��ł�����قNJȒP�Ȃ��Ƃł͂Ȃ��B���ɁA�ŏ��ɊJ�������Ƃ��ɁA�g�p����DBMS�ɍ��킹�Ă����Ǝ��������Ƃ��Ă��A���DBMS���ʂ̂��̂ɕύX���ꂽ�Ƃ��ɁA�G�X�P�[�v�������������Ȃ����̂ƂȂ��āASQL�C���W�F�N�V�����Ǝ㐫�ɂȂ�Ƃ����ߌ����N���肦��B

�u���܂ł��A���l�p�����[�^�̈����͊Ԉ�����܂��v�i���؎��j


�@�M�҂́A���l�p�����[�^���V���O���N�I�[�g�ł�����Ƃ����΍�������Ă������A���̑΍���������Ȃ��������B

�@�u�G�X�P�[�v�����̐����́ASQL�C���W�F�N�V�����̌������������̂ɂ͕K�v�����A������̐����ɂ͕ʂ̎��_���K�v�B�U���̃p�^�[�����炻������������@���l����̂ł͂Ȃ��āA���������{������ׂ������������͂ǂ��������̂����l���Ă��炢�����v�ƍ��؎��͌����B

�u���S��SQL�̌Ăяo�����v�͎w���ҕK�ǂ̃h�L�������g

�u�Z�L�����e�B�̐��ƂƂ��Ďw���I�ȗ���̕��ɓǂ�ł��������������v�i���؎��j


�@�w���I�ȗ���Ƃ́AWeb�V�X�e���̊J���Ɋ֘A���������R���T���e�B���O�Ɍg����Ă������A�Г������ɃZ�L�����e�B�ɂ‚��Ďw������l�Ȃǂ��w���B�������M�҂̂悤�ȃZ�L�����e�B�̋L���⏑�Ђ������l���A�Ƃ������Ƃ��B

�@�u���O�̃G�X�P�[�v�����ł͂Ȃ��_���Ȃ̂��A����𗝉����Ă����������߂ɏ�����Ă���v�ƍ��؎��B

�@�u���S��SQL�̌Ăяo�����v�̑S40�y�[�W�̔����́AWeb�A�v���P�[�V�����Ŏg�p����邱�Ƃ̑���DBMS�ƁA�v���O���~���O����̑g�ݍ��킹��Ώۂɂ����A�ȉ��̎��Ԓ����̌��ʂ��ڂ����Ă���B����́A�M�����҂����ۍ_���ɂ�钲�����ʂ��Ƃ����B

  • �v���[�X�z���_�̎����͐ÓI�v���[�X�z���_�i�������ꂽ���j���A���I�v���[�X�z���_��
  • ���I�v���[�X�z���_�̃G�X�P�[�v�����͐�������������邩
  • quote���\�b�h�͐�������������邩
  • �����G���R�[�f�B���O�̈���

�@�������ꂽ�g�ݍ��킹�͈ȉ��̂��̂ł���BWeb�A�v���P�[�V�����J���̍ۂ̎Q�l�ɂȂ邾�낤�B

  • Java �{ Oracle
  • PHP �{ PostgreSQL
  • Perl �{ MySQL
  • Java �{ MySQL
  • ASP.NET �{ Microsoft SQL Server

�Z�L�����e�B���Ƃ̍����_�H

�u���������ŃZ�L�����e�B���ƂɂȂ�Ă��܂��v�i���؎��j


�@�Z�L�����e�B���Ƃ́A������������΂�����x�̃��x���ɓ��B�ł���ƍ��؎��͌����B�ǂ����ɏ����Ă��������Ƃ��ËL���āA�����b���Ă��邾���ł��A�Z�L�����e�B���ƂɂȂ��B�������A�Z�L�����e�B���Ƃɐ^�ɋ��߂���̂́A���̑΍􂪖{���ɑ΍�ɂȂ��Ă���̂����l���A�ǂ������O������œK�p�ł���̂��Ƃ������؂蕪��������\�͂��Ƃ����B

�@�܂��A�}�l�W�����g�n�̃Z�L�����e�B�ƃG���W�j�A�n�̃Z�L�����e�B�͈قȂ�B�J���Ɍg���G���W�j�A�n�̃Z�L�����e�B���Ƃ́A�������畨�����l���Ă݂�ׂ����낤�B

�Ԉ�����΍�𕁋y�����Ȃ����߂�

�u�g�T�j�^�C�Y�����ȁB�h�͍L�܂����v�i���؎��j


���؎�

�@SQL�C���W�F�N�V������N���X�T�C�g�X�N���v�e�B���O�̑΍�ł́A�u�T�j�^�C�Y��@�v�ȂǂƌĂ΂��A���͒l�ɒ��ڂ��ėL�Q�ȕ��������u����Ƃ����l���������s�����B�������A�ǂ����u���邩�́A�������g�p����ꏊ�Ō��܂���̂ŁA���͒i�K�ł͌��܂�Ȃ��B���͂ŏ��u����ƁA�ߏ�ȃG�X�P�[�v���������ꂽ��A�L������͂ł��Ȃ��A�v���P�[�V�����ɂȂ��Ă��܂��ȂǁA�s�s����������B

�@�M�҂̋L���������A���͒l�����u����悤�ɏ����Ă������A�w�E���󂯂āASQL���ɖ��ߍ��ނƂ���ŏ��u����悤�ɏC�����Ă���B

�@�������A�u�T�j�^�C�Y�v�Ƃ������t�͐l�ɂ���ĂƂ炦��������Ă����肵�āA�Ȃ��Ȃ��������l���������y���Ȃ������B�����ō��؎����n�߂��̂��u�T�j�^�C�Y�����ȃL�����y�[���v�������B�΍����@���u�T�j�^�C�Y�v�Ƃ������t���g�킸�ɐ������悤�Ƃ���΁A�Ԉ�����΍�Ɛ������΍�̈Ⴂ�ɋC�t�������͂��ƍl�����Ƃ����B���ꂩ��5�N�߂����������܂ł́A���Ȃ��Ƃ����{�ł́u�T�j�^�C�Y�v�I���z�͂��Ȃ�r�����邱�Ƃ��ł����Ɗ����Ă���Ǝ��͌����B

�y�Q�l�z

���؍_��������̓��L - �u�T�j�^�C�Y�����ȃL�����y�[���v�Ƃ͉���

http://takagi-hiromitsu.jp/diary/20051227.html#p02


���؍_��������̓��L - WASF Times�Łu�T�j�^�C�Y�����ȁI�v

http://takagi-hiromitsu.jp/diary/20070203.html#p01



�@����̎�ނł͒��ǂ����肷��ʐ^�͎B�点�Ă��炦�Ȃ��������A�u�Ԉ�����΍�𕁋y������ȁv�Ƃ������؎��̎v���ɂ͐G��邱�Ƃ��ł����B�M�҂͂��ꂩ������؎��̐�N�i�����ۂ��j������‚‚��A�������Z�L�����e�B�΍�𐢂ɍL�߂Ă��������B

Profile

��� ��i������ ����j

������Ѓg���C�R�[�_��\�����


�Z�L���AWeb�A�v���P�[�V�����J���Ȃǂ̃Z�L�����e�B�����A�Ǝ㐫�f�f����ȋƖ��Ƃ��Ă���B�Ɨ��s���@�l��񏈗����i�@�\�iIPA�j�Z�L�����e�B�Z���^�[�������Ȃǂ����߂�B


�ߒ��Ɂu����킩�郁�[���v���g�R���v�A�u����킩��TCP/IP�v�A�u����킩��HTTP�v�i�����ĉj�Ёj������B�l�u���O�́u���������w���L�v�Btwitter ID��@sen_u�B


�uSecurityTrust �E�H�b�`�v�o�b�N�i���o�[

Copyright © ITmedia, Inc. All Rights Reserved.

�X�|���T�[����̂��m�点PR

���ڂ̃e�[�}

AI for �G���W�j�A�����O
�u�T�v���C�`�F�[���U���v�΍�
1P��V�X�̂��߂̐Ǝ㐫�Ǘ��^�΍�̌�����
OSS�̃T�v���C�`�F�[���Ǘ��A���ׂ��A�N�V�����Ƃ�
Microsoft �� Windows�őO��2024
�V�X�e���J���m�E�n�E �y�����i�r�zPR
���Ȃ��ɂ������߂̋L��PR

RSS�ɂ‚���

�A�C�e�B���f�B�AID�ɂ‚���

���[���}�K�W���o�^

��IT�̃��[���}�K�W���́A �������A���ׂĖ����ł��B���Ѓ��[���}�K�W�������w�ǂ��������B