OWASP テスティングガイド

4.8.5 SQL アンヱジェクシュンヱ (OWASP-DV-005)
概 要
SQL イヱザェキサュヱ 攻 撃 は、キョイアヱトからアプヨクーサュヱへの 入 力 デーソによって、SQL キウヨを 挿 入 あるいは 注 入 され
ることで 行 わわれます。SQL イヱザェキサュヱ 攻 撃 が 成 功 すると、デーソプーシから 重 要 なデーソを 読 み 出 したり、デーソを 改 ざ
んしたり( 追 加 、 更 新 、 削 除 '、 管 理 操 作 を 実 行 したり(DBMS のサメットゾウヱなど'、DBMS ファイラサシテマ 上 に 存 在 するフ
ァイラのケヱテヱツを 復 元 したり、 場 合 によっては、OS にケボヱドを 発 行 することが 可 能 です。SQL イヱザェキサュヱ 攻 撃 は、
イヱザェキサュヱ 攻 撃 の 一 種 で、 事 前 に 定 義 された SQL ケボヱドの 実 行 に 影 響 を 与 えるために、デーソを 入 力 する 箇 所 に
SQL ケボヱドを 挿 入 します。
関 連 するスキャリテァ 活 動
SQL アンヱジェクシュンヱ 脆 弱 性 の 定 義
OWASP の SQL Injection 脆 弱 性 の 記 事 を 参 照 してください。
OWASP の Blind_SQL_Injection 脆 弱 性 の 記 事 を 参 照 してください。
SQL アンヱジェクシュンヱ 脆 弱 性 を 回 避 する 方 法
OWASP Development Guide の how to Avoid SQL Injection Vulnerabilities の 記 事 を 参 照 してください。
OWASP Code Review Guide の how to Review Code for SQL Injection Vulnerabilities の 記 事 を 参 照 してください。
脆 弱 性 の 解 説
SQL イヱザェキサュヱ 攻 撃 は、 次 の 3 つのキョシに 分 けることが 出 来 ます8
• イヱバヱド8デーソは SQL ケードを 挿 入 されたタメネラと 同 じタメネラを 通 じて 抽 出 されます。これが 最 も 一 般 的 な
攻 撃 のやり 方 で、 抽 出 したデーソは Web ヘーザ 上 にそのまま 表 示 されます。
• アウトバヱド8デーソは 異 なるタメネラを 通 じて 抽 出 されます( 例 えば、キウヨの 結 果 が 含 まれた 電 子婡 ミーラが 生 成
され、テシソーに 送 信 される'。
• 推 測 8デーソは 一 切 転 送 されませんが、テシソーは、 特牐 殊 なヨキウシトを 送 信 し、その 結 果 起 こる DB コーバの 振 る
舞 いを 観 察 することで、 情 報 を 再 構 築 することができます。
いずれの 攻 撃 キョシにおいても、SQL イヱザェキサュヱ 攻 撃 を 成 功 させるためには、SQL キウヨを 文 法 的 に 正 しく 構 成 する 必
要 があります。アプヨクーサュヱが 正 しくないキウヨのよって 生 成 されたウョーミッスーザを 返 す 場 合 は、エヨザナラのキウヨの
ルザッキを 簡 単 に 再 構 築 することができ、 正 しく 挿 入 を 実 行 する 方 法 が 分 かります。しかし、もしアプヨクーサュヱがウョーの
詳 細 を 隠 した 場 合 、テシソーはエヨザナラのキウヨのルザッキをヨバーシウヱザニアヨヱギする 必 要 があります。 後 者 のクーシ
は、"Blind SQL Injection"として 知 られています。
216