SQLインジェクションとは―メカニズム、攻撃例、対策について

トップ情報処理の知識体系テクノロジ系技術要素セキュリティ情報セキュリティとは攻撃手法サイバー攻撃の種類 SQLインジェクション

SQLインジェクションは、アプリケーションのSQL文生成処理の不備を突いたサイバー攻撃です。SQLインジェクションのメカニズム、攻撃例、対策、IPA情報処理試験の問題など、サイバー攻撃の種類の一つSQLインジェクションについての情報をまとめています。

▲記事トップへ

1. SQLインジェクションとは

SQLインジェクションとは、Webページ上の入力フォームなどパラメータとして送信される文字列から生成されたSQL文を不正なものにするようにパラメータを変更して、 Webアプリケーションを誤動作させたり、データベースの内容を不正に閲覧したりするサイバー攻撃のことをいいます。

SQLとは

SQLとは、簡単に言うと「リレーショナルデータベースを管理するソフトと話すための言語」です。

詳細

攻撃目的

SQLインジェクションを利用したサイバー攻撃の主な目的は以下になります。

機密情報の取得
不正なサイトへの誘導
不正な処理・機能の実行
システムやデータの破壊・改ざん
サービス妨害・迷惑行為

2. 攻撃例

SQLインジェクションは、たとえば、Webアプリケーションの入力データとしてデータベースへの命令文を構成するデータを入力し、想定外のSQL文を実行します。 SQLインジェクションの攻撃例についてまとめていきます。

以下は掲示板などのコメント投稿処理の例になります。

正常な入力値

まずは、正常な処理を見ていきます。

名前：太郎
タイトル：コメント
メッセイージ：コメントです。

正常な入力値の場合、アプリケーションで組み立てたSQL文は以下になります。

#ASPの例
objCon.Open
strSQL = "INSERT INTO board (USERID, TITLE, MESSAGE) VALUES ('太郎', 'コメント', 'コメントです。');"
objRS.Open strSQL, objCon, 3

不正な入力値

名前：太郎
タイトル：コメント
メッセイージ：SQLインジェクションの例です。');delete from `board`;--以降のSQL文無効化のためコメントアウト

#ASPの例
objCon.Open
strSQL = "INSERT INTO board (USERID, TITLE, MESSAGE) VALUES (" _
         "'太郎', 'コメント', 'SQLインジェクションの例です。');delete from `board`;--以降のSQL文無効化のためコメントアウト');"
objRS.Open strSQL, objCon, 3

SQL文が不正にかえられ、しかもテーブルのデータが消されてしまいます。

3. 原因、対策

SQLインジェクションの原因、対策についてまとめていきます。

原因

SQLを実行するアプリケーションで、SQL文のリテラル部分の生成処理のチェック不備が原因です。

フォームや入力値、GETやPOSTなどの入力値を使用して、実行するSQL文に組み立てる際に入力値に害のあるコードが含まれていないか十分にチェックされないことが原因になります。

対策

対策方法はいくつかあります。複数合わせて多層防衛するのが望ましいです。

Webアプリケーションの実装における対策

SQLインジェクション攻撃を防ぐ方法は、SQLとして解釈されないように文字列をチェックします。

対策としては、以下のような方法があります。

プレースホルダを利用する

Webアプリケーションの実装以外の対策

入力された文字列が、データベースへの問合せや操作において、特別な意味を持つ文字として解釈されないようにします。

対策としては、以下のような方法があります。

データベースのアカウントがもつデータベースアクセス権限を必要最小限にする

例に対策を適用

上述の攻撃例の場合、対策により、プレースホルダによりSQL文が変更される文字を事前に検出、もし変更されてもDELETE文のような文は権限が無く実行できなくなります。

4. SQLインジェクションに関連したIPA情報処理試験の過去問題

以下ではSQLインジェクションに関連したIPA情報処理試験の過去問とその解説をまとめています。

もっと知識を広げるための参考

攻撃手法
情報システムへの外部からの不正な行為や手法など、サイバー攻撃の種類と対策方法についてまとめています。
情報セキュリティ
情報セキュリティとは何か、情報セキュリティのテキストコンテンツをテーマに知識をまとめています。またIPAの情報処理試験の情報セキュリティ関連の問題も解説しています。
テクノロジ系
情報処理試験対策用のサイトオリジナル教科書をテーマにテクノロジ系の知識をまとめています。

更新履歴

2018/10/11 SQLインジェクション対策を分類別にまとめ直しました。
2018/8/8 SQLインジェクション攻撃による被害を防ぐ方法の説明に補足を追記しました。
2017/5/7 ページをUPしました。

戻る

スポンサーリンク

情報処理の知識体系

各試験の問題と解説

ランダム出題・採点アプリ

プログラミング