re:キケンなSQLインジェクション
re:キケンなSQLインジェクション ネタ元:キケンなSQLインジェクション SQLインジェクション対策へのアプローチとしては正しいのだけど、1点だけ気になる点が。。。 もし、悪いやつが「";DELETE FROM geekDB;」なんて入力したら、なんとデータが消えてしまうΣ(ﾟДﾟ) 実はこれではDBのデータを消すことはできない。 $sql="select * from geekDB where id = " . $id; $result = mysql_query($sql); mysql_query関数は複合クエリに対応していない為、SQL文中にセミコロンが入っている時点でエラーになります。 ですので、元のコードに少なくとも複合クエリに関するSQLインジェクションは含まれていないです。 ただ、これがpg_queryだったりsqlite_query、mysqli_queryだった場合
サイト脆弱性をチェックしよう！--第6回：SQLインジェクションの検査方法
印刷する メールで送る テキスト HTML 電子書籍 PDF ダウンロード テキスト 電子書籍 PDF クリップした記事をMyページから読むことができます 前回は、クロスサイトスクリプティング（XSS）について説明したが、今回はXSSと並び、話題となっているSQLインジェクションについて説明する。 2年前に立て続けにSQLインジェクションの脆弱性を攻撃された事件が発生したため、この言葉を聞いたことがある人は多いことだろう。それ以前は、SQLインジェクションの脆弱性を攻撃するには、SQLやプログラミングの知識が必要とされていた。 しかし、ちょうど3年ほど前に、SQLインジェクションの脆弱性を攻撃するためのツールが作成されたため、このツールさえ使えれば、誰でも簡単にアプリケーションを攻撃することができるようになった。その結果、2年前よりSQLインジェクションを利用した情報漏えいがたびたび発生す
今夜分かるSQLインジェクション対策 ― ＠IT
【関連記事】 本内容についてのアップデート記事を公開しています。あわせてご確認ください（編集部） Security&Trustウォッチ（60） 今夜こそわかる安全なSQLの呼び出し方 ～ 高木浩光氏に聞いてみた http://www.atmarkit.co.jp/fsecurity/column/ueno/60.html Webアプリケーションに対する攻撃手法の1つであるSQLインジェクションの存在は、かなり広く知られるようになった。しかし、その対策はまだ本当に理解されていないように思える。フォームから渡された値の特殊文字をエスケープしたり、PHPのmagic_quotes_gpcといった自動エスケープ機能をオンにするだけで対策したつもりになっていないだろうか。 基本はもちろん、セカンドオーダーSQLインジェクションやマルチバイト文字を利用したSQLインジェクションの攻撃パターンや、その対
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
2-1. SQL組み立て時の引数チェック
