SQLインジェクションが通った原因は“静的解析ツールのバージョンアップ”　「自動修正機能」に気をつけるべき理由

2023/10/18 18 users 静的解析ツール 小川 解析ツール 脆弱性 小川氏

「静的解析ツールで生まれたSQLインジェクション」というタイトルで登壇したのは、小川 氏。「面白かった脆弱性」について解説し合い、脆弱性に関する知識を深めるためのイベント「Security․Tokyo #2」で、静的解析ツールによって生まれたSQLインジェクションの事例について発表しました。 登壇者の自己紹介 小川氏：小... 続きを読む

パスワードがハッシュ値で保存されているサイトのSQLインジェクションによる認証回避の練習問題 - Qiita

2023/09/17 312 users select $sql Qiita とおり 外部

SQLインジェクションによる認証回避 SQLインジェクションによる影響として、情報が漏洩するとか、データが勝手に更新されてしまうなどとともに、認証回避の例がよく紹介されます（私の本でも取り上げています）。 典型的な例は下記のとおりです。 // $id と $password は外部からの入力 $sql = "SELECT * FROM users WHE... 続きを読む

静的解析ツールで生まれたSQLインジェクション | ドクセル

2023/09/04 112 users ドクセル 静的解析ツール offset CakePHP 脆弱性

面白かった脆弱性 - CVE-2023-22727 PHPフレームワーク CakePHP 4 のSQLインジェクション脆弱性 ORM limit(), offset() でSQLi CVSS v3 9.8 2023/01に修正済み CakePHP Laravelの次に使用率高いフレームワーク(多分) 割と使いやすいからお勧め 一般にコード品質が上がる静的解析ツールの使用で逆に発生 続きを読む

GitHub CopilotのAIモデルがさら進化し、より的確なコードの提案、脆弱性のあるパターン、SQLインジェクション、クレデンシャルのハードコードなどを警告など

2023/02/15 18 users クレデンシャル Codex GitHub プログラマ 警告

GitHub CopilotのAIモデルがさら進化し、より的確なコードの提案、脆弱性のあるパターン、SQLインジェクション、クレデンシャルのハードコードなどを警告など GitHubは、AIによってプログラマのコーディングを支援する「GitHub Copilot」の基礎となる「Codex」と呼ばれるAIモデルを更新し、提案するコードの品質の向上と... 続きを読む

Goにおける型によってSQLインジェクションを防ぐ方法

2022/08/12 118 users github.com Google 文書 脆弱性 参考

はじめに 2022年のセキュリティ・キャンプ全国大会に講師として参加しました。その際に、Goにおける脆弱性への対策はどうなっているのか調べました。この記事では、github.com/google/go-safeweb/safesqlがどのようにSQLインジェクションを防いでるのかについて解説します。 なお、@rungさんの文書を多いに参考にしてお... 続きを読む

脆弱性情報を隠匿、被害後の原因調査もなし……　クレカ情報漏えいのメタップス子会社に行政指導

2022/07/01 9 users メタップスペイメント 隠匿 監査 メタップス子会社 行政

経済産業省は、大量のクレジットカード情報を流出させたとして、クレジットカード決済システムを提供するメタップスペイメントに行政指導した。同社は情報セキュリティの監査において、脆弱性情報やシステム変更の事実を適切に共有していなかった。 経済産業省は6月30日、不正アクセスやSQLインジェクション、バックドア... 続きを読む

Webサービスにおけるマイページの仕様とセキュリティ観点 - Flatt Security Blog

2022/06/27 295 users セキュリティ観点 Flatt Security Blog

はじめに こんにちは。株式会社Flatt Security セキュリティエンジニアの石川です。 本稿では、ログイン機能をもつWebアプリケーションにおける実装上の注意を、マイページ機能から派生する機能のセキュリティ観点から記載していきます。特に、XSS（Cross-Site Scripting）やSQLインジェクションのような典型的な脆弱性... 続きを読む

メタップス、不正アクセスやられ放題　最大46万件のカード番号やセキュリティコード流出か　バックドアやSQLインジェクションの痕跡見つかる

2022/02/28 736 users メタップス セキュリティコード 痕跡 メタップスペイメント

クレジットカード決済基盤を提供するメタップスペイメント（東京都港区）は2月28日、同社のデータベースから最大で46万件のクレジットカード番号、有効期限、セキュリティコードなどが流出したと発表した。サーバへの不正ログイン、SQLインジェクション、バックドアの設置などさまざまな攻撃を受けていたことが調査で分... 続きを読む

Gormにおける「仕様通り」なSQLインジェクションの恐れのある実装についての注意喚起 - ANDPAD Tech Blog

2022/02/18 162 users gorm MySQL tomtwinkle 実装 原田

ANDPADボードチームの原田(tomtwinkle)です。 Node.jsの mysqljs/mysql の仕様に起因するSQLインジェクションが話題に上がっていたので、それGolangのORMであるGormでも同じような「仕様」があるよ！ という注意喚起の意味も込めて筆を執りました。 Node.jsのMySQLパッケージにおけるエスケープ処理だけでは防げない「隠... 続きを読む

Node.jsのMySQLパッケージにおけるエスケープ処理だけでは防げない「隠れた」SQLインジェクション - Flatt Security Blog

2022/02/16 398 users MySQL MySQLパッケージ エスケープ処理 クエリ 動作

※本記事は筆者styprが英語で執筆した記事を株式会社Flatt Security社内で日本語に翻訳したものになります。 TL;DR Node.jsのエコシステムで最も人気のあるMySQLパッケージの一つである mysqljs/mysql (https://github.com/mysqljs/mysql)において、クエリのエスケープ関数の予期せぬ動作がSQLインジェクションを引き起こ... 続きを読む

SQLインジェクションによる攻撃の被害事例と5つの防止策

2021/10/19 12 users 攻撃 防止策 被害事例 攻撃手法 被害

SQLインジェクションは古典的な攻撃手法でありながら、今なお多くの被害が報告されている。機密情報や個人情報を扱うWebサイトの担当者は、SQLインジェクションに対して適切な対策を講じる責任を負っている。本記事では、SQLインジェクションに関連する被害事例を紹介しながら、その対策について解説する。 SQLインジェ... 続きを読む

従業員が作ったセキュリティホールの責任を会社が取るなんてナンセンスです：「訴えてやる！」の前に読む IT訴訟 徹底解説（89）（1/3 ページ） - ＠IT

2021/06/20 6 users セキュリティホール 要件 連載目次 IT訴訟 従業員

従業員が作ったセキュリティホールの責任を会社が取るなんてナンセンスです：「訴えてやる！」の前に読む IT訴訟 徹底解説（89）（1/3 ページ） 連載目次 納品したシステムにSQLインジェクションなどの既によく知られた脆弱（ぜいじゃく）性がある場合、たとえその対応策が要件として定義されていなくても、ITの専門家で... 続きを読む

サンリオ子会社に不正アクセス、メアド4万6000件流出か　SQLインジェクション攻撃で - ITmedia NEWS

2021/06/08 10 users SQLインジェクション攻撃 サンリオエンターテイメント

サンリオエンターテイメントが、同社のWebサイトに不正アクセスを受け、メールアドレス4万6421件が流出した可能性があると発表。「SQL文」を何らかの方法で実行させ、利用しているデータベースを不正操作する「SQLインジェクション」を受けたという。 サンリオエンターテイメントは6月5日、同社のWebサイトに不正アクセ... 続きを読む

Railsで作った脆弱性をBurp Suiteで診断してみる | GMOアドパートナーズグループ TECH BLOG byGMO

2021/05/28 11 users Rails byGMO GMOアドマーケティング 脆弱性診断

こんにちは、GMOアドマーケティングのR.Yです。 今回はBurp Suiteによる脆弱性診断をしていきます。前回OWASP ZAPを使って自動でテスト用のサイトを診断し、複数の脆弱性を確認することができました。そして、今回はそこで検出された「SQLインジェクション」の脆弱性についてBurp Suiteを使って詳しく確認していきます。... 続きを読む

ワクチン予約システムで話題の「SQLインジェクション」って何？　試すと法律違反？　専門家に聞く - ITmedia NEWS

2021/05/19 10 users Twitter 法律違反 ITmedia News 犯罪 話題

「SQLインジェクションができる」と話題になった大規模接種センターの新型コロナワクチン接種予約システム。Twitterには実際に試すと犯罪になるという声もあったが、そもそもSQLインジェクションとは何で、実行すると本当に犯罪になるのか。専門家に聞いた。 防衛省が5月17日に始めた、大規模接種センターの新型コロナワ... 続きを読む

不正アクセス禁止法違反になる？ワクチン大規模接種の予約システムでのSQLインジェクションの存在を合法的に確認することは難しいという話 - Togetter

2021/05/18 50 users Togetter Shoko ワクチン大規模接種 くれぐれ

まとめ 【悲報】防衛省のワクチン予約システム 早速ネット民のおもちゃに「SQLインジェクションできる」「同じ番号入れるとその.. あーあ なお本当におもちゃにした場合は犯罪になりますので、くれぐれも笑って楽しむだけにしましょう。 156814 pv 3334 851 users 452 Shoko @_okohs 公共のシステムにSQLインジェクショ... 続きを読む

【悲報】防衛省のワクチン予約システム 早速ネット民のおもちゃに「SQLインジェクションできる」「同じ番号入れるとその前の予約がキャンセル」 - Togetter

2021/05/17 1150 users test 号外 leia.5ch.net Togetter

シン・深海魚クンさん@T.N.G @53Channel 当然ながら、大クラッキング大会が開催されてしまうという……。 【号外】防衛省「システムの大規模な改修は困難」　ジャップｗｗｗｗｗｗｗｗｗ★4 [628044343] leia.5ch.net/test/read.cgi/… 2021-05-17 20:28:35 続きを読む

ダンジョンを攻略しつつSQLインジェクションの脆弱性について学べるサイト「Lord of SQLInjection」 - GIGAZINE

2020/08/23 9 users うえ GIGAZINE アプリケーション データベース 攻撃

アプリケーションが想定しない文字列を実行することにより、データベースを不正に操作する攻撃はSQLインジェクションと呼ばれ、攻撃によってクレジットカード情報や住所などの重要な個人情報が流出した事例も存在します。「Lord of SQLInjection」は、そんなSQLインジェクションを駆使してダンジョンを攻略していくウェ... 続きを読む

高木浩光＠自宅（テレワークを除く）の日記 - 「安全なウェブサイトの作り方」HTML版にリンクジュースを注ぎ込む

2020/08/01 457 users 高木浩光 ディレクトリ テレワーク ウェブサイト 項目別

■ 「安全なウェブサイトの作り方」HTML版にリンクジュースを注ぎ込む IPAの「安全なウェブサイトの作り方」（改定第7版2015年、初版2006年）のHTML版が出ている。項目別にページが作られている。 1.1 SQLインジェクション 1.2 OSコマンド・インジェクション 1.3 パス名パラメータの未チェック／ディレクトリ・トラバーサ... 続きを読む

話題のGoogle製OSS - Tsunamiを試してみた - Qiita

2020/06/27 18 users Ｔｓｕｎａｍｉ セキュリティーホール Qiita XSS 内部

はじめに 先日発表された話題のGoogle製OSS - Tsunamiを触ってみたので，実行方法と概要を残したいと思います． TL;DR サクッとコマンド叩くと脆弱性をjson形式で返してくれるので便利 ただ，XSSやSQLインジェクションといった内部のセキュリティーホールは見てくれない（これから対応するかもしれないが） どちらかと言... 続きを読む

社内で好評だったSQLインジェクションの資料を公開します – Webセキュリティの小部屋

2020/03/15 552 users スライド 割合 脆弱性 Webセキュリティ 好評

先日(2020年2月21日)に、社内のとある会議でSQLインジェクションについてプレゼンしてきたのですが、割合と好評だったようなのでここでも公開してみます。 スライドのタイトルをクリックすると拡大したスライドで見ることができます。 実際には、SQLインジェクションの脆弱性があるとアカウント情報が漏洩して、システム... 続きを読む

油断できないSQLインジェクション。その種類とWebアプリにおける対策 | yamory Blog

2020/03/06 11 users SQLi SQLクエリ yamory Blog 略称 種類

SQLインジェクション（SQL Injection、略称: SQLi） は、バックエンドにおけるデータベース操作に悪意のあるSQLクエリを注入して、意図していないデータにアクセスできる脆弱性および攻撃手法です。データベースには、企業の機密情報や顧客の個人情報などが保存されているため、攻撃者はこの機密情報を狙って取得を試み... 続きを読む

【新機能】API Gateway のステージに AWS WAF を直接関連づけられるようになりました ｜ DevelopersIO

2018/11/07 39 users DevelopersIO クロスサイトスクリプティング

2018年11月5日です。�さらりと便利なリリースが飛び込んできましたね。 Amazon API Gateway Adds Support for AWS WAF AWS WAF を Amazon API Gateway に使用して、SQLインジェクションやクロスサイトスクリプティング（XSS）などの攻撃から保護することができます。さらに、ルールを使用して、IPアドレス、地域、要求サ... 続きを読む

Google Cloud上のサービスをDDoS攻撃から守る新機能「Cloud Armor」公開。XSSやSQLインジェクションも防御可能 － Publickey

2018/03/22 122 users XSS YouTube Publickey DDoS攻撃 防御

Google Cloud上のサービスををDDoS攻撃から守る新機能「Cloud Armor」公開。XSSやSQLインジェクションも防御可能 Googleは、Google SearchやGmail、YouTubeなど自社で提供するサービスがDDos攻撃を受けてもサービスが停止しないよう、DDoS攻撃に対抗できる機能を自社のグローバルネットワークとクラウドの仕組みとして備えています。 同社は、そうした... 続きを読む

Masato Kinugawa Security Blog: 正規表現にユーザ入力を使っていることに起因するDOM based XSS

2018/01/15 89 users DOM Based XSS 正規表現 XSS 通り 興味

お久しぶりです＆あけましておめでとうございます。昨年はブログを書く時間をうまく作ることができず、あまり記事を書けませんでした。今年はできるだけ月に1回程度何か書いていきたいと思っています。今年もよろしくお願いします！ さて、ブログを書かなかった間にXSSからSQLインジェクションへ興味が移った、なんてことはありませんでしたので、今日もいつも通り大好きなXSSの話をしたいと思います！ 最近、正規表現... 続きを読む