ネプラスのテックブログ。ネットワーク、クラウド、サーバなどのITインフラ情報を中心に発信中。

  1. ネプラス インフラエンジニア採用
  2. テックマガジン
  3. セキュリティ
  4. SQLインジェクションってなに?引き起こすリスクや対策方法7つをご紹介

SQLインジェクションってなに?引き起こすリスクや対策方法7つをご紹介

  • セキュリティ
  • データベース
  • テクノロジー
公開日時:   更新日時:
SQLインジェクションってなに?引き起こすリスクや対策方法7つをご紹介
この記事でわかること
    基本情報技術者試験の試験対策はこちら>>

    そもそもSQLってなに?


    SQLとは、リレーショナルデータベースの操作を行う言語です。コンピューターで扱う言語ですが、プログラミング言語とは異なります。

    SQLでは、データベースに対しデータを問い合わせ(検索)したり、データベースそのものの構造を作成・変更が可能です。また、蓄積されているデータを条件に応じて抽出できるほか、データを蓄積するテーブルを丸ごと削除してしまうような操作もできてしまいます。

    SQLインジェクションとは


    SQLインジェクションは、Webサイトの入力フォームにSQL文を含む文字列を入力し、アプリケーションとして想定していないSQL文を実行させる攻撃です。

    例えば、アプリケーションで使用しているデータベースの値を改ざんされたり、必要なテーブルを削除されたりする危険性があります。さらに、IDとパスワードがなくてもグインできてしまうこともあります。

    ここではSQLインジェクションの仕組みや種類を紹介します。

    仕組み

    Webサイトの入力フォームに入力された文字列はサーバーに渡され、データベースの検索条件や登録されるデータの要素として使われます。

    攻撃者は、Webアプリケーションサーバーで実行されるSQL文を想定し、入力フォームから実行可能なSQL文を含む文字列を入力します。

    そのため、Webサイトとしては入力された値によりアプリケーションのSQLが無効化されたり、入力されたSQL文が実行されたりしないよう対策が必要です。

    種類

    代表的なSQLインジェクションの種類として「インバンドSQLインジェクション」と「ブラインドSQLインジェクション」があります。

    インバンドSQLインジェクションは、簡単にできる攻撃なので多く見られます。SQL文を実行してエラーメッセージを生成させることもでき、テーブルを結合させてアプリケーションテーブルすべてを参照することさえ可能です。

    ブラインドSQLインジェクションは、直接データを盗み出すのではなく、データベースの管理情報を盗み出します。

    クロスサイトスクリプティングとの違いとは?

    クロスサイトスクリプティングは、Webサイトやメールを利用して不正なコードを実行させ、Webのプログラムコードを書き換えたりCookie情報を盗んだりする攻撃です。

    SQLインジェクションもクロスサイトスクリプティングもセキュリティの脆弱性を攻撃する点では同じですが、前者は不正なSQL文を実行させる攻撃であり、後者はプログラムコードを用いる攻撃である点で異なります。

    SQLインジェクションが引き起こす3つのリスク


    SQLインジェクションはWebアプリケーションが利用しているデータベースを直接操作できるので、実行されてしまうと多大な影響や被害を受けることになりかねません。

    SQLインジェクションを使った攻撃の中でも、アプリケーション管理者に致命的な結果となるリスクを3つ紹介します。攻撃の方法ともたらされる結果や影響から、SQLインジェクションの怖さをイメージしてみてください。

    SQLインジェクションのリスク1:情報改ざん

    ショッピングサイトでよく見かける「商品名」を入力して該当商品の検索を行うページでは、検索ボタンをクリックするとSQL文が発行される仕組みになっています。

    入力された商品名は「’(シングルクォーテーション)」で囲んでSQL文のキーとして使われ、SQL文の最後は「;(セミコロン)」で閉じます。

    SQL文の構成を知っている攻撃者が「’;攻撃に使うSQL文」を入力すれば、脆弱性のあるサイトでは攻撃に使うSQL文が実行されてしまいます。管理者が意図しない更新用SQLを攻撃用のSQL文として発行することも可能です。

    SQLインジェクションのリスク2:機密・個人情報の漏洩

    SQL文はデータベースからデータを抽出するときにも使われる言語なので、SQLインジェクションの脆弱性があるサイトから情報を抜き取るのは簡単な作業です。

    会員登録フォームのようにデータベースへのデータ登録を目的とするフォームで、データ抽出のSQL文を含む文字列を入力します。データベースにはSQL文を含んだデータが登録され、次回該当データを検索するときに、攻撃としてのデータ抽出SQL文も実行されてしまいます。

    SQLインジェクションのリスク3:データの消去

    SQLインジェクションの攻撃によりデータを消去する方法は、データ改ざんの方法とほぼ同じです。

    SQL文の構成を知っている攻撃者が「’;攻撃に使うデータ削除用のSQL文」を入力すれば、脆弱性のあるサイトではデータ削除のSQL文が実行されてしまいます。

    そして、データ削除文が無条件で実行されれば該当テーブルにある全データが削除されてしまいます。さらに悪質の場合は、テーブルそのものを削除してしまうことも可能です。

    SQLインジェクションの対策方法7選


    SQLインジェクションはよく知られている攻撃であり、対応策も豊富です。管理するWebサイトに適した対応策を採用することが大切ですが、対応策は1種類だけでなく、可能な限り網羅した方がリスクを減らせます。

    ここで紹介する対策方法は、Webサイトの構成やアプリケーションのプログラムで対応する必要があります。なお、Webサイト構築後はSQLインジェクションに関するテストが必須です。

    SQLインジェクションの対策1:サーバーを使う

    SQLインジェクションはWebアプリケーションのプログラムに問題があることによって起きるといわれています。

    SQLインジェクションを使ってSQL文を入力された場合、アプリケーションはそれを命令文として認識していまいます。そのため入力エリアの文字や文字数などに入力制限を設け、SQL文を成立させないようにします。

    SQLインジェクションの対策2:WAFを導入する

    WAFはWebアプリケーションファイヤーウォールという技術で、アプリケーションそのものに組み込むことなく、脆弱性を突いた攻撃を検出できます。

    後付けで行える対策なので、Webアプリケーションの改修が難しい場合や脆弱性が明らかになっていてもどう改修したらよいか不明な場合に有効です。WAFを導入すれば、SQLインジェクションだけでなく、クロスサイトスクリプティングによる攻撃も防御・低減できます。

    SQLインジェクションの対策3:エスケープ処理

    SQLインジェクションによる攻撃の対策として、入力フォームで入力された文字列を特殊な文字に変換したうえでデータベースに渡すエスケープ処理も有効です。

    エスケープ処理はサニタイジングとも呼ばれ、SQLインジェクションやクロスサイトスクリプティング対策として有効です。環境により異なりますが、「<」を「<」に置き換えたり、空白を「 」に置き換えたりします。

    SQLインジェクションの対策4:Webの脆弱性を確認する

    管理しているWebサイトに脆弱性があるかを確認してくれるサービスがあります。これはセキュリティ会社が疑似攻撃をしかけてくれるもので、無償のサービスもあります。

    無償のサービスは、セキュリティに関する知識を必要とするものもあるので、サイトの安全性を確実に確認しておきたい場合は、有償サービスを利用した方が確実です。また、診断方法も手動とツールがあるので、予算に応じて選択可能です。

    SQLインジェクションの対策5:バインド機能を使う

    SQLインジェクションを避けるため、実装の際はSQL文に入力フォームの入力値を直接使うのではなく、プレースホルダを使うのが一般的です。

    プレースホルダとは、プログラム内で実行されるSQL文で外部パラメータを使う部分を「?」で表記しておき、実際に入力された値はSQL文とは別にバインドされるものです。

    バインド機能を使っておけば、バインド機構に不具合がない限り、SQLインジェクションは不可能とされています。

    SQLインジェクションの対策6:データベースサーバーの監視・解析を活用

    地道な作業ですが、データサーバーへのアクセスログやクエリーログを監視し、解析しておくこともSQLインジェクションの有効な対策になります。

    アクセスログからは不正なアクセスを検知でき、クエリーログからは想定したSQL文とは異なる不正なSQL文の実行を検知できます。また、監視や解析を行っていれば、攻撃が開始された時点で検知することもでき、被害や影響を最小限に抑えることも可能です。

    SQLインジェクションの対策7:開発言語を使う

    SQLインジェクションを防ぐ対策として、プログラムでSQL文を生成するのではなく、ロジックと合わせてSQL文を記述できる開発言語を使うことも有効です。

    .net LinqやPL/SQLなどは、ロジックの中にSQL文を記述できる開発言語です。すでにほかの開発言語でプログラム開発を行っている場合、SQL文部分のみ抜き出してほかの開発言語に置き換えるのは、時間も費用もかかりすぎるので難しいでしょう。

    SQLインジェクションの痕跡を見つける


    SQLインジェクションはデータベース接続を利用した不正アクセスです。例えば、このような事例があります。

    ある会社は自社製品を販売するショッピングサイトを作ったのですが、その会社にはIT関連に精通した社員がいませんでした。業者にホームページの製作とシステム構築を依頼し、サイトを公開、販売を始めました。

    しかしそのページに目をつけた人物が、ログインページに「SQLインジェクション」を試みます。特殊な文字列を入力することで、パスワードを入力しなくても会員ページにログインできてしまいました。

    そのため会員の氏名、電話番号、クレジットカード番号まで漏洩しまったのです。

    iLogScanerを使って痕跡を見つける

    このような被害を防ぐためには、まずSQLインジェクションの標的となるページの対策を採らなくてはいけません。例えばiLogScaner(SQLインジェクション検出ツール)を使って痕跡を検出しましょう。

    ログを解析することで、攻撃の痕跡を確認できます。また攻撃が成功した可能性を見ることも可能です。さらにSSHやFTPサーバーのログを見て、攻撃と思われるような痕跡を検出する機能もあります。

    SQLインジェクション対策でデータベースを守りましょう


    SQLインジェクションは、自社のデータベースや顧客情報などを危険にさらす脅威です。

    ホームページを製作する際には、SQLインジェクション対策を行い、大切なデータベースを守るようにしましょう。

    FEnetを運営しているネプラス株式会社はサービス開始から10年以上
    『エンジニアの生涯価値の向上』をミッションに掲げ、
    多くのインフラエンジニア・ネットワークエンジニアの就業を支援してきました。
    ネプラス株式会社ロゴ

    ネプラス株式会社はこんな会社です

    秋葉原オフィスにはネプラス株式会社をはじめグループのIT企業が集結!
    数多くのエンジニアが集まります。

    秋葉原オフィスイメージ
    • インフラ業界に特化

      インフラ業界に特化

      ネットワーク・サーバー・データベース等、ITインフラ業界に特化。Cisco Systemsプレミアパートナーをはじめ各種ベンダーのパートナー企業です。

      業界を知り尽くしているからこそ大手の取引先企業、経験豊富なエンジニアに選ばれています。

    • 正社員なのにフリーランスのような働き方

      正社員なのにフリーランスのような働き方

      正社員の方でも希望を聞いたうえでプロジェクトをアサインさせていただいており、フリーランスのような働き方が可能。帰社日もありません。

      プロジェクト終了後もすぐに次の案件をご紹介させていただきますのでご安心ください。

    • 大手直取引の高額案件

      大手直取引の高額案件

      案件のほとんどが大手SIerやエンドユーザーからの直取引のためエンジニアの皆様へに高く還元できています。

      Ciscoをはじめ、Juniper、Azure、Linux、AWS等インフラに特化した常時300件以上の案件があります。

    • スキルアップ支援

      スキルアップ支援

      不要なコストを削減し、その分エンジニアの方へのスキルアップ支援(ネットワーク機器貸出、合格時の受験費用支給など)や給与で還元しています。

      受験費用例)CCNP,CCIE:6-20万円、JNCIS:3-4万円、AWS:1-3万円など

      ※業務に関連する一定の資格のみ。各種条件がありますので詳しくは担当者へにお尋ねください。

    • 現給与を保証します!

      100%現給与保証

      前職の給与保証しており、昨年度は100%の方が給与アップを実現。収入面の不安がある方でも安心して入社していただけます。

      ※適用にはインフラエンジニアの業務経験1年以上、等一定の条件がございます。

    • インセンティブ制度

      インセンティブ制度

      ネットワーク機器の販売・レンタル事業等、売上に貢献いただいた方にはインセンティブをお支払いしています。

      取引先企業とエンジニア側、双方にメリットがあり大変好評をいただいています。

    • 社会保険・福利厚生

      社会保険・福利厚生

      社員の方は、社会保険を完備。健康保険は業界内で最も評価の高い「関東ITソフトウェア健康保険組合」です。

      さらに様々なサービスをお得に利用できるベネフィットステーションにも加入いただきます。

    • 東証プライム上場企業グループ

      東証プライム上場企業グループ

      ネプラスは東証プライム上場「株式会社夢真ビーネックスグループ」のグループ企業です。

      安定した経営基盤とグループ間のスムーズな連携でコロナ禍でも安定した雇用を実現させています。

    ネプラス株式会社に興味を持った方へ

    ネプラス株式会社では、インフラエンジニアを募集しています。

    年収をアップしたい!スキルアップしたい!大手の上流案件にチャレンジしたい!
    オンライン面接も随時受付中。ぜひお気軽にご応募ください。

    ネプラス株式会社へのご応募はこちら↓
    ネプラス株式会社へのご応募はこちら↓

    Oracle新着案件New Job