é«˜æœ¨æµ©å…‰ï¼ è‡ªå®…ã®æ—¥è¨˜ - 駄目ãªæŠ€è¡“文書ã®è¦‹åˆ†ã‘æ–¹ ãã®1■駄目ãªæŠ€è¡“文書ã®è¦‹åˆ†ã‘æ–¹ ãã®1 ã¯ã¦ãªãƒ–ックマークã®ãƒ›ãƒƒãƒ†ãƒ³ãƒˆãƒªã‚’見ã¦ã„ãŸã¨ã“ã‚ã€300を超ãˆã‚‹ãƒ¦ãƒ¼ã‚¶ã«ç™»éŒ²ã•ã‚ŒãŸä»¥ä¸‹ã®è¨˜äº‹ãŒã‚ã£ãŸã€‚ 今夜分ã‹ã‚‹SQLインジェクション対ç–, 上野宣, @IT, 2006å¹´11月2æ—¥ ã¾ãŸä¸Šé‡Žå®£ã‹ã€‚顔見知りãªã®ã§ã‚ºãƒãƒªã„ãã“ã¨ã«ã™ã‚‹ã€‚ ã—ã‹ã—ã€ãã®å¯¾ç–ã¯ã¾ã 本当ã«ç†è§£ã•ã‚Œã¦ã„ãªã„よã†ã«æ€ãˆã‚‹ã€‚ ã¸ãˆã€‚ 終ã‚ã‚Šã®æ–¹ã‚’見ã¦ã¿ã‚‹ã¨ã€ Webアプリケーションã®å¯¾ç– 入力値ã®SQLã®ç‰¹æ®Šæ–‡å—ã‚’é©åˆ‡ã«ã‚¨ã‚¹ã‚±ãƒ¼ãƒ— 入力値ï¼ãƒ—ãƒã‚°ãƒ©ãƒ （プãƒã‚»ã‚¹ï¼‰ã«å¤–部ã‹ã‚‰å…¥ã£ã¦ãるも㮠シフトJISã®å ´åˆã«ã¯1ãƒã‚¤ãƒˆæ–‡å—ã‚’æ•´ç† SQLã®è¨˜è¿°ã‚’ãªãã™ãŸã‚ã«O/R（Object/Relational）マッピングを活用 攻撃者ã«å½¹ç«‹ã¤æƒ…å ±ã‚’ä¸Žãˆãªã„ãŸã‚ã«ã€ä¸è¦ãªã‚¨ãƒ©ãƒ¼ãƒ¡ãƒƒã‚»ãƒ¼ã‚¸ï¼ˆãƒ‡ãƒ¼ã‚¿ãƒ™ãƒ¼ã‚¹ãŒå‡ºåŠ›ã™ã‚‹ã‚¨ãƒ©ãƒ¼ãªã©ï¼‰ã®è¡¨ç¤ºã‚’æŠ‘æ¢ å¯¾ç–ã«ã€Œæº–å‚™ã•ã‚ŒãŸæ–‡ã€(prepared statement)
æ–‡ç« ã‚’æ›¸ã心ãŒã‘
「文書を作るã“ã¨ãŒã§ããªã„症候群ã€Â / 平林 ç´”@「hirax.netã€ã®ç§‘å¦ã¨æŠ€è¡“ã¨ç”·ã¨å¥³ï¼ï¼´ï½…ｃｈç·ç ”
[çµ] 2006å¹´8月 - çµåŸŽæµ©ã®æ—¥è¨˜ 機械的ãªä½œæ¥ã®é€²ã‚æ–¹
{{#tags}}- {{label}}
{{/tags}}