The JSON SQL Injection Vulnerability
tl;dr Many SQL query builders written in Perl do not provide mitigation against JSON SQL injection vulnerability. Developers should not forget to either type-check the input values taken from JSON (or any other hierarchical data structure) before passing them to the query builders, or should better consider migrating to query builders that provide API immune to such vulnerability. Note: å•é¡Œã®ç™ºè¦‹è€…ã«ã‚ˆã‚‹æ—¥
ã¨ã‚る診æ–å“¡ã¨SQLインジェクション
7. 通常ã®Webサーãƒã¨ã®é€šä¿¡ <html> <body> <form action=“register†method=“POSTâ€> æ°å:vultest<BR> メールアドレス:vulte[email protected]<BR> 性別:ç”·<BR> （以下略） </html> POST /confirm.php HTTP/1.1 Host: example.jp （以下略） Cookie: PHPSESSID=xxxxxxxxxx name=vultest&mail=vultest%40example.jp&gender=1 HTTP Response HTTP Request 8. 色々ã„ã˜ã£ã¦ã¿ã¦ã©ã†ã„ã†å¿œç”ãŒã‚ã‚‹ã‹ç¢ºèª POST /confirm.php HTTP/1.1 Host: example.jp （以下略） Cookie: PHPSESSID=xxxxxxxxxx name
深刻ãªã€Œãƒ–ラインドSQLインジェクションã€ã®è„…å¨
2013å¹´11月18æ—¥ã‹ã‚‰11月21æ—¥ã®4日間ã«ã‚ãŸã‚Šã€ã‚¢ãƒ¡ãƒªã‚«åˆè¡†å›½ãƒ‹ãƒ¥ãƒ¼ãƒ¨ãƒ¼ã‚¯ã§Webアプリケーションã®ã‚»ã‚ュリティã«é–¢ã™ã‚‹å›½éš›çš„ãªã‚«ãƒ³ãƒ•ã‚¡ãƒ¬ãƒ³ã‚¹ã§ã‚る「OWASP AppSec USA 2013ã€ãŒé–‹å‚¬ã•ã‚Œã¾ã—ãŸã€‚ 世界å„国ã‹ã‚‰é–‹ç™ºè€…ãƒ»ç ”ç©¶è€…ãŒä¸€å ‚ã«ä¼šã™ã‚‹ã“ã®ä¸€å¤§ã‚¤ãƒ™ãƒ³ãƒˆã«å‚åŠ ã—ã¦ãã¾ã—ãŸã®ã§ã€ãã®æ¨¡æ§˜ã‚’å ±å‘Šã—ã¾ã™ã€‚ Webアプリセã‚ュリティã«ã¾ã¤ã‚ã‚‹ã‚らゆる話題を扱ã†ã€ŒOWASP〠OWASP（Open Web Application Security Project）ã¯ã€WebアプリケーションãŠã‚ˆã³Webサービスã®ã‚»ã‚ュリティå‘上を目的ã¨ã—ãŸã€ãƒœãƒ©ãƒ³ãƒ†ã‚£ã‚¢ã«ã‚ˆã‚‹ãƒ—ãƒã‚¸ã‚§ã‚¯ãƒˆã§ã™ã€‚ 今回å‚åŠ ã—ãŸã€ŒAppSecã€ã‚’ã¯ã˜ã‚ã¨ã™ã‚‹ã‚«ãƒ³ãƒ•ã‚¡ãƒ¬ãƒ³ã‚¹ã®é–‹å‚¬ã«ã‚ˆã‚‹çŸ¥è˜ã®å±•é–‹ã‚„トレーニングを通ã˜ãŸé–‹ç™ºè€…ã®ã‚¹ã‚ルå‘上ã®ä»–ã€é–‹ç™ºè€…å‘ã‘ガイドラインã®ä½œæˆã€ãƒ†ã‚¹ãƒˆãƒ„ールã®é–‹ç™ºãƒ»å…¬é–‹ãªã©ã‚’è¡Œã£ã¦ã„ã¾ã™ã€‚ツー
世界ã®å¤§æ‰‹ä¼æ¥ã«ä¸æ£ã‚¢ã‚¯ã‚»ã‚¹ã—ãŸçŠ¯äººã€1å„„6000万件ã®ã‚¯ãƒ¬ã‚¸ãƒƒãƒˆã‚«ãƒ¼ãƒ‰æƒ…å ±ã‚’ç›—ã‚€
訴追ã•ã‚ŒãŸç”·5人ã¯ç±³NASDAQã‚„7-Elevenã¨ã„ã£ãŸå¤§æ‰‹ä¼æ¥ã®ãƒãƒƒãƒˆãƒ¯ãƒ¼ã‚¯ã«SQLインジェクション攻撃を仕掛ã‘ã¦ä¸æ£ä¾µå…¥ã—ã€ãƒžãƒ«ã‚¦ã‚§ã‚¢ã‚’仕込んã§æƒ…å ±ã‚’ç›—ã‚“ã ã¨ã•ã‚Œã‚‹ã€‚ ç±³å¸æ³•çœã¯7月25æ—¥ã€ä¸–ç•Œã®å¤§æ‰‹ä¼æ¥ã®ãƒãƒƒãƒˆãƒ¯ãƒ¼ã‚¯ã«ä¾µå…¥ã—ã¦1å„„6000万件ã‚ã¾ã‚Šã®ã‚¯ãƒ¬ã‚¸ãƒƒãƒˆã‚«ãƒ¼ãƒ‰æƒ…å ±ã‚’ç›—ã‚“ã§ã„ãŸç”·5人をã€ä¸æ£ã‚¢ã‚¯ã‚»ã‚¹ãªã©ã®å®¹ç–‘ã§è¨´è¿½ã—ãŸã¨ç™ºè¡¨ã—ãŸã€‚ 被害ã«éã£ãŸä¼æ¥ã®ä¸ã«ã¯ã€ç±³NASDAQã€7-Elevenã€JetBlueã€Dow Jonesã¨ã„ã£ãŸå¤§æ‰‹ä¼æ¥ã‚„組織ã€Visa（ヨルダン）やDiners（シンガãƒãƒ¼ãƒ«ï¼‰ãªã©ã®ä¸»è¦ã‚¯ãƒ¬ã‚¸ãƒƒãƒˆã‚«ãƒ¼ãƒ‰ä¼šç¤¾ãŒå«ã¾ã‚Œã‚‹ã€‚被害ç·é¡ã¯ã“ã®ã†ã¡ã®3社ã ã‘ã§3億ドルã«ä¸Šã‚‹ã¨ã„ã†ã€‚ 訴追ã•ã‚ŒãŸã®ã¯ã€ãƒã‚·ã‚¢äººã¨ã‚¦ã‚¯ãƒ©ã‚¤ãƒŠäººã®26æ³ã‹ã‚‰32æ³ã®ç”·5人。ãã‚Œãžã‚Œã«å½¹å‰²åˆ†æ‹…ãŒã‚ã‚Šã€ã¾ãšãƒã‚·ã‚¢ã®ç”·2人ãŒä¼æ¥ã®ãƒãƒƒãƒˆãƒ¯ãƒ¼ã‚¯ã«ä¸æ£ã‚¢ã‚¯ã‚»ã‚¹ã‚’確立ã—ã€3人目ã®ç”·ãŒãã®ãƒãƒƒãƒˆãƒ¯ãƒ¼ã‚¯ã‹ã‚‰æƒ…å ±
CMSã«æ½œã‚€SQLインジェクション
ãƒãƒƒãƒ—アップã•ã‚ŒãŸãƒ€ã‚¤ã‚¢ãƒã‚°ã«ã¯ã€ã”親切ã«ã‚‚実行ã«å¤±æ•—ã—ãŸSQLãŒè¡¨ç¤ºã•ã‚Œã¦ã„る。ã“れを見ã¦ã„ãã¨ã€ã©ã†ã‚„らシングルクオーテーションãŒã‚¨ã‚¹ã‚±ãƒ¼ãƒ—ã•ã‚Œã¦ã„ãªã„よã†ã 。もã—ã‹ã™ã‚‹ã¨SQLãŒå®Ÿè¡Œã§ãã‚‹ã‹ã‚‚ã—ã‚Œãªã„。 Gekko Data Error :Gekko DB SQL Error running SELECT id,username,date_created,date_modified,date_last_logged_in,status,ip,date_last_failed_login_attempt,total_failed_login_attempt FROM gk_user_items WHERE (username LIKE '%'%') OR (firstname LIKE ''%') OR (lastname LIKE ''%') order by sort_order.
CMSã«æ½œã‚€SQLインジェクション
CMSã«æ½œã‚€SQLインジェクション：試ã—ã¦ã¿ãªã‘りゃ分ã‹ã‚‰ãªã„？ å¤ã„Webアプリã®è„†å¼±æ€§ï¼ˆ2）（1/2 ページ） 今回ã¯ã€å¤ã„CMSã«æ½œã‚€SQLインジェクションã®è„†å¼±æ€§ã‚’検証ã™ã‚‹ã€‚データベースをæ“作ã—ãŸçµæžœã€ã©ã‚“ãªã“ã¨ãŒå¯èƒ½ã«ãªã‚‹ã®ã‹ã€ãã®å±é™ºæ€§ã‚’ã‚らãŸã‚ã¦èªè˜ã—ã¦ã»ã—ã„。
ç´„11万件ã®ã‚«ãƒ¼ãƒ‰æƒ…å ±ãŒæµå‡ºã€æºå¸¯ã¨Wi-Fiレンタルã®GLOBALDATAã¨Global Cellularã‹ã‚‰
エクスコムグãƒãƒ¼ãƒãƒ«ã¯2013å¹´5月27æ—¥ã€åŒç¤¾ãŒé‹å–¶ã™ã‚‹æµ·å¤–用モãƒã‚¤ãƒ«Wi-Fiルーターレンタルサービス「GLOBALDATAã€ï¼ˆå†™çœŸ1）ã¨æµ·å¤–用æºå¸¯ãƒ¬ãƒ³ã‚¿ãƒ«ã‚µãƒ¼ãƒ“ス「Global Cellularã€ï¼ˆå†™çœŸ2）ã®Webサイトã‹ã‚‰ã€10万9112件ã®ã‚¯ãƒ¬ã‚¸ãƒƒãƒˆã‚«ãƒ¼ãƒ‰æƒ…å ±ãŒæµå‡ºã—ãŸã¨ç™ºè¡¨ã—ãŸã€‚外部ã‹ã‚‰SQL文を入力ã•ã‚Œã‚‹ã€ŒSQLインジェクションã€ã¨å‘¼ã¶æ”»æ’ƒæ‰‹æ³•ãŒä½¿ç”¨ã•ã‚ŒãŸã¨ã—ã¦ã„る。 æµå‡ºã—ãŸã®ã¯ï¼ˆ1）カードå義人åã€ï¼ˆ2）カード番å·ã€ï¼ˆ3）カード有効期é™ã€ï¼ˆ4）セã‚ュリティコードã€ï¼ˆ5）申込者ä½æ‰€ã€‚サーãƒãƒ¼ã«ã¯æœ€å¤§14万6701件ã®ã‚¯ãƒ¬ã‚¸ãƒƒãƒˆã‚«ãƒ¼ãƒ‰æƒ…å ±ãŒè¨˜éŒ²ã•ã‚Œã¦ã„ãŸã€‚æ¼æ´©å¯¾è±¡ã¯2011å¹´3月7æ—¥ã‹ã‚‰2013å¹´4月23æ—¥ã«ç”³ã—込んã 顧客ã®æƒ…å ±ã¨ã„ã†ã€‚ エクスコムグãƒãƒ¼ãƒãƒ«ã«ã‚ˆã‚Œã°4月23æ—¥17æ™‚é ƒã€å¥‘ç´„å…ˆã§ã‚ã‚‹æ±ºæ¸ˆä»£è¡Œä¼šç¤¾ã‚ˆã‚Šã‚¯ãƒ¬ã‚¸ãƒƒãƒˆã‚«ãƒ¼ãƒ‰æƒ…å ±ã®æµå‡ºæ‡¸å¿µã«ã¤ã„ã¦é€£çµ¡ãŒã‚ã‚Šã€åŒæ—¥ã€Webサ
エクスコムグãƒãƒ¼ãƒãƒ«ã€SQLインジェクションã§ç´„11万件ã®ã‚¯ãƒ¬ã‚«æƒ…å ±æµå‡º
エクスコムグãƒãƒ¼ãƒãƒ«ã€SQLインジェクションã§ç´„11万件ã®ã‚¯ãƒ¬ã‚«æƒ…å ±æµå‡ºï¼šã‚µãƒ¼ãƒã«ä¿æŒã®ã‚»ã‚ュリティコードãªã©ã‚‚æµå‡º エクスコムグãƒãƒ¼ãƒãƒ«ã¯5月27æ—¥ã€åŒç¤¾WebサイトãŒSQLインジェクション攻撃をå—ã‘ã€æœ€å¤§10万9112件ã®ã‚¯ãƒ¬ã‚¸ãƒƒãƒˆã‚«ãƒ¼ãƒ‰æƒ…å ±ã‚„ã‚»ã‚ュリティコードãŒæµå‡ºã—ãŸã“ã¨ã‚’明らã‹ã«ã—ãŸã€‚ 海外旅行者å‘ã‘ã®ãƒ¢ãƒã‚¤ãƒ«ãƒ«ãƒ¼ã‚¿ãƒ¬ãƒ³ã‚¿ãƒ«ã‚µãƒ¼ãƒ“スをæä¾›ã—ã¦ã„るエクスコムグãƒãƒ¼ãƒãƒ«ã¯5月27æ—¥ã€åŒç¤¾WebサイトãŒSQLインジェクション攻撃をå—ã‘ã€æœ€å¤§10万9112件ã®ã‚¯ãƒ¬ã‚¸ãƒƒãƒˆã‚«ãƒ¼ãƒ‰æƒ…å ±ã‚„ã‚»ã‚ュリティコードãŒæµå‡ºã—ãŸã“ã¨ã‚’明らã‹ã«ã—ãŸã€‚ æƒ…å ±æµå‡ºãŒæ˜Žã‚‰ã‹ã«ãªã£ãŸã®ã¯4月23æ—¥17時ã”ã‚。決済代行会社ã‹ã‚‰ã‚¯ãƒ¬ã‚¸ãƒƒãƒˆã‚«ãƒ¼ãƒ‰æƒ…å ±ãŒæµå‡ºã—ã¦ã„ã‚‹å¯èƒ½æ€§ãŒã‚ã‚‹ã¨é€£çµ¡ãŒå…¥ã£ãŸã“ã¨ã‚’å—ã‘ã€èª¿æŸ»ã‚’進ã‚ã¦ããŸã¨ã„ã†ã€‚ ãƒã‚°èª¿æŸ»ã®çµæžœã€åŒç¤¾ãŒé‹å–¶ã™ã‚‹ã€ŒGLOBALDATAã€ã¨ã€ŒGlobal Cellularã€ã®Web
Ruby on Railsã®find_by_*メソッドã«SQLインジェクション脆弱性(CVE-2012-5664) | 徳丸浩ã®æ—¥è¨˜
Ruby on Rails(3.2.9, 3.1.8, 3.0.17以å‰)ã®find_by_*メソッドã«SQLインジェクション脆弱性ãŒè¦‹ã¤ã‹ã‚Šã¾ã—ãŸ(CVE-2012-5664)。ã“ã®ã‚¨ãƒ³ãƒˆãƒªã§ã¯ãã®æ¦‚è¦ã¨å¯¾ç–ã«ã¤ã„ã¦èª¬æ˜Žã—ã¾ã™ã€‚ æ¦‚è¦ Ruby on Railsã®find_by_*メソッドã®å¼•æ•°ã¨ã—ã¦ãƒãƒƒã‚·ãƒ¥ã‚’指定ã™ã‚‹ã“ã¨ã§ã€ä»»æ„ã®SELECT文を実行ã§ãる脆弱性ãŒã‚ã‚Šã¾ã™ã€‚ 検証 Ruby on Rails3.2.9ã®ç’°å¢ƒã‚’用æ„ã—ã¦ã€ä»¥ä¸‹ã®2ã¤ã®ãƒ¢ãƒ‡ãƒ«ã‚’用æ„ã—ã¾ã—ãŸã€‚ $ rails g scaffold user name:string email:string $ rails g scaffold book author:string title:string モデルUserã¯å€‹äººæƒ…å ±ã‚’ä¿æŒã—ã¦ãŠã‚Šã€è‡ªåˆ†è‡ªèº«ã®æƒ…å ±ã®ã¿ãŒé–²è¦§ã§ãã‚‹ã¨ã„ã†æƒ³å®šã§ã™ã€‚モデルBookã¯æ›¸èªŒãƒ‡ãƒ¼ã‚¿ãƒ™ãƒ¼ã‚¹ã§ã‚
米ヤフーã®ã‚µãƒ¼ãƒ“スã€ãƒã‚°ã‚¤ãƒ³æƒ…å ±45万件ãŒæ¼ãˆã„ã‹
ç±³YahooãŒã‚»ã‚ュリティ侵害ã®çŠ 牲ã¨ãªã‚Šã€40万件を超ãˆã‚‹ãƒã‚°ã‚¤ãƒ³èªè¨¼æƒ…å ±ãŒæ¼ãˆã„ã™ã‚‹çµæžœã¨ãªã£ãŸã‚ˆã†ã 。 ãƒãƒƒã‚ングã•ã‚ŒãŸãƒ‡ãƒ¼ã‚¿ã¯ãƒãƒƒã‚«ãƒ¼ã‚µã‚¤ãƒˆã€ŒD33D Companyã€ã«æŠ•ç¨¿ã•ã‚ŒãŸã€‚åŒãƒ‡ãƒ¼ã‚¿ã¯ã€45万3000件超ã®ãƒã‚°ã‚¤ãƒ³èªè¨¼æƒ…å ±ã‚’å«ã‚“ã§ãŠã‚Šã€Yahooã®ãƒãƒƒãƒˆãƒ¯ãƒ¼ã‚¯ã‹ã‚‰å–å¾—ã•ã‚ŒãŸã‚‚ã®ã¨ã¿ã‚‰ã‚Œã‚‹ã€‚ãƒãƒƒã‚«ãƒ¼ã‚‰ã¯UNIONベースã®SQLインジェクション技術を使ã£ã¦Yahooã®ã‚µãƒ–ドメインã«é€²å…¥ã—ãŸã¨è¿°ã¹ã€ã“ã®ãƒ‡ãƒ¼ã‚¿ãƒ€ãƒ³ãƒ—ã¯ã€Œè¦é˜ã€ã®ã¤ã‚‚ã‚Šã ã¨ã—ã¦ã„る。 ãƒãƒƒã‚«ãƒ¼ã‚‰ã¯ã€Œã“ã®ã‚µãƒ–ドメインã®ã‚»ã‚ュリティ管ç†ã‚’担当ã—ã¦ã„る関係者ã«ã¯ã€ã“れを脅迫ã§ã¯ãªãè¦é˜ã¨ã—ã¦ã¨ã‚‰ãˆã¦ã»ã—ã„ã€ã¨ãƒ‡ãƒ¼ã‚¿ã®æœ«å°¾ã«ã‚³ãƒ¡ãƒ³ãƒˆã¨ã—ã¦è¨˜ã—ã¦ã„る。「YahooãŒæ‰€æœ‰ã™ã‚‹ã‚¦ã‚§ãƒ–サーãƒã«ã¯æ‚ªç”¨å¯èƒ½ãªã‚»ã‚ュリティホールãŒå¤šãã‚ã‚Šã€ã“れらã¯ã‚ã‚Œã‚ã‚Œã®ãƒ‡ãƒ¼ã‚¿å…¬é–‹ã‚ˆã‚Šã‚‚ã¯ã‚‹ã‹ã«å¤§ããªæ失を生ã¿å‡ºã—ã¦ã„る。軽ã考ãˆãªã„ã§ã»ã—ã„。ã“ã®ã‚µãƒ–
ä¸æ£ã‚¢ã‚¯ã‚»ã‚¹ã«ã‚ˆã‚‹æƒ…å ±æ¼ãˆã„ã®ãŠè©«ã³ã¨ã”å ±å‘Š - テニス用å“大型通販専門店 テニスギア
2011å¹´8月23æ—¥ æ ªå¼ä¼šç¤¾ã‚¹ãƒãƒ¼ãƒ„ギア　代表å–ç· å½¹ã€€å¤§ç«¹ 幸信 2011å¹´5月下旬ã€ãŠå®¢æ§˜ã®ã‚¯ãƒ¬ã‚¸ãƒƒãƒˆã‚«ãƒ¼ãƒ‰ä¸æ£ä½¿ç”¨ã«é–¢ã™ã‚‹è¤‡æ•°ã®ç…§ä¼šã‚’å—ã‘ãŸã“ã¨ã«ä¼´ã„ã€ç¤¾å†…調査åŠã³ç¬¬ä¸‰è€…æ©Ÿé–¢ã«ã‚ˆã‚‹äºŒé‡ã®èª¿æŸ»ã‚’è¡Œã„ã¾ã—ãŸã¨ã“ã‚ã€"SQLインジェクション"ã¨ã„ã†ã‚¯ãƒ©ãƒƒã‚ング手法ã«ã‚ˆã‚‹å›½å†…・海外（主ã«ä¸å›½ï¼‰ã‹ã‚‰ã®ä¸æ£ã‚¢ã‚¯ã‚»ã‚¹ã‚’確èªè‡´ã—ã¾ã—ãŸã€‚ã‚ã‚ã›ã¦å…¨263件（弊社関係者ã€æœ‰åŠ¹æœŸé™åˆ‡ã‚Œã‚’除ãã¨248件）ã®ã‚¯ãƒ¬ã‚¸ãƒƒãƒˆã‚«ãƒ¼ãƒ‰æƒ…å ±ã®æ¼ãˆã„ãŒåˆ¤æ˜Žè‡´ã—ã¾ã—ãŸã€‚ãŠå®¢æ§˜ãªã‚‰ã³ã«é–¢ä¿‚者ã®çš†æ§˜ã«ã”迷惑ã€ã”心é…ã‚’ãŠã‹ã‘致ã—ã¾ã—ã¦å¿ƒã‚ˆã‚ŠãŠè©«ã³ç”³ã—上ã’ã¾ã™ã€‚ 弊社ã§ã¯ã€ä»Šå›žã®äº‹æ…‹ã‚’厳粛ã«å—ã‘æ¢ã‚ã€äºŒåº¦ã¨ã“ã†ã—ãŸãŠå®¢æ§˜æƒ…å ±æ¼ãˆã„ãŒèµ·ã“らãªã„よã†ã€ã‚¯ãƒ©ãƒƒã‚ング対ç–åŠã³å€‹äººæƒ…å ±ä¿è·ãƒ—ãƒã‚°ãƒ©ãƒ ã®å¼·åŒ–ã€ã¾ãŸãŠå®¢æ§˜åŠã³é–¢ä¿‚者ã®çš†æ§˜ã®ä¿¡é ¼å›žå¾©ã¨ãŠè©«ã³ã«å…¨åŠ›ã§å–り組む所å˜ã§ã™ã€‚ ãªãŠã€ä»Šå›žã€ãŠå®¢æ§˜æƒ…å ±ãŒæ¼ãˆã„ã—ãŸã“ã¨ãŒç¢ºèªã•ã‚ŒãŸã‚¦ã‚§ãƒ–サーãƒãƒ¼
ソニー傘下ã®ã‚¦ã‚§ãƒ–サイトã§ã•ã‚‰ãªã‚‹ãƒãƒƒã‚ング被害--ギリシャã¨ã‚¤ãƒ³ãƒ‰ãƒã‚·ã‚¢ã§
ギリシャã®ã‚½ãƒ‹ãƒ¼ãƒ»ãƒŸãƒ¥ãƒ¼ã‚¸ãƒƒã‚¯ã‚¨ãƒ³ã‚¿ãƒ†ã‚¤ãƒ³ãƒ¡ãƒ³ãƒˆã®ã‚¦ã‚§ãƒ–サイト「SonyMusic.grã€ãŒSQLインジェクションã«ã‚ˆã‚‹æ”»æ’ƒã‚’å—ã‘ã€8300人以上ã®ãƒ¦ãƒ¼ã‚¶ãƒ¼ã®æ°åã€ãƒ¦ãƒ¼ã‚¶ãƒ¼åã€é›»åメールアドレスãŒPastebin.comã«æŽ²è¼‰ã•ã‚ŒãŸã¨ã„ã†ã€‚The Hacker NewsãŒç±³å›½æ™‚é–“22æ—¥ã«ä¼ãˆãŸã€‚ã“ã®è¨˜äº‹ã«ã¯ã€ã€Œhacked by b4d_viperaã€ï¼ˆb4d_viperaã«ã‚ˆã‚Šãƒãƒƒã‚¯ï¼‰ã¨æ›¸ã‹ã‚ŒãŸã‚¹ã‚¯ãƒªãƒ¼ãƒ³ã‚·ãƒ§ãƒƒãƒˆãŒæŽ²è¼‰ã•ã‚Œã¦ã„る。リンクã•ã‚ŒãŸPastebinã®ãƒšãƒ¼ã‚¸ã¯ã€23æ—¥åˆå‰ã®æ™‚点ã§ç©ºã«ãªã£ã¦ã„る。 ã‚»ã‚ュリティä¼æ¥Sophosã®Chester Wisniewskiæ°ã¯ã€è‡ªèº«ã®Naked Securityブãƒã‚°ã®è¨˜äº‹ã§ã€Pastebinã®ãƒ‡ãƒ¼ã‚¿ã¯ãƒ‘スワードや電話番å·ãªã©ã‚‚å«ã‚“ã§ã„ã‚‹ã¨ä¸»å¼µã•ã‚Œã¦ã„ã‚‹ãŒã€ãれらã¯æ¬ ã‘ã¦ã„ã‚‹ã‹å½é€ ã§ã‚ã‚Šã€æŽ²è¼‰ã•ã‚ŒãŸãƒ‡ãƒ¼ã‚¿ã¯ä¸å®Œå…¨ãªã‚‚ã®ã®ã‚ˆã†ã ã¨è¿°ã¹ã¦ã„る。
ã¾ã¨ã‚よã†ã€ã‚ã¤ã¾ã‚ㆠ- Togetter
コミュニケーションãŒç”Ÿã¾ã‚Œã‚‹ãƒ„イートã¾ã¨ã‚ツール
Togetter - 「巫女テスター（17æ³ï¼‰ã€ã‚·ã‚¹ãƒ†ãƒ ã®è‡´å‘½çš„ãªæ¬ 陥を発見ã—サーãƒãƒ¼ã”ã¨ã‚·ã‚¹ãƒ†ãƒ をシャットダウンã—ãŸä¸€éƒ¨å§‹çµ‚ã€
コミュニケーションãŒç”Ÿã¾ã‚Œã‚‹ãƒ„イートã¾ã¨ã‚ツール
アナãƒã‚°ãªSQLインジェクション手法ãŒã™ã”ã„件 - YomuKaku Memo
車ã®ãƒŠãƒ³ãƒãƒ¼ãƒ—レートã®ä¸Šã‚ãŸã‚Šã«sql injection用ã®æ–‡å—列を貼ã£ã¦ã‚¹ãƒ”ードé•å検出用（？）ã®ã‚«ãƒ¡ãƒ©ã«èªã¿è¾¼ã¾ã›ã€é›»å…‰æŽ²ç¤ºæ¿ã«ä»»æ„（ã¨æ€ã‚れる）文å—を出力ã™ã‚‹æ”»æ’ƒã‚’ã—ã¦ã„る人ãŒã„ãŸã‚ˆã†ã§ã™ã€‚ ç”»åƒã‚’見ã¦ã„ãŸã ãã“ã¨ãŒæ—©ã„ã§ã™ã€‚ Tumblrã§æµã‚Œã¦ã„ãŸç”»åƒãªã®ã§ã€ã‚½ãƒ¼ã‚¹ãŒã‚ã‹ã‚‰ãªã„ãŸã‚ã€ã²ã¨ã¾ãšãã®ã¾ã¾è»¢è¼‰ã—ã¾ã™ã€‚ 実際ã®å‡ºæ¥äº‹ãªã®ã‹ãƒ•ã‚£ã‚¯ã‚·ãƒ§ãƒ³ãªã®ã‹ã‚ã‹ã‚Šã¾ã›ã‚“ãŒâ€¦ã€‚ 日本ã®Nシステムã¨ã‹ã€ã‚„ã¯ã‚Šã“ã†ã„ã†ç©´ã¯ã‚ãƒãƒƒã¨å¡žã„ã§ã‚ã‚‹ã‚“ã§ã—ょã†ã‹ã€‚
ウェブサイト改ã–ã‚“ã®æ–°æ”»æ’ƒã€æ—¥æœ¬å›½å†…ã§ã‚‚被害--トレンドマイクãƒè¦å‘Š
トレンドマイクãƒã¯4月4æ—¥ã€SQLインジェクションã«ã‚ˆã‚‹æ£è¦ã‚¦ã‚§ãƒ–サイトを改ã–ã‚“ã™ã‚‹æ–°ãŸãªæ”»æ’ƒã€é€šç§°ã€ŒLizaMoon（ライザムーン）ã€ã«ã‚ˆã‚‹è¢«å®³ãŒã€æ—¥æœ¬ã®è¤‡æ•°ã®ã‚¦ã‚§ãƒ–サイトã«åŠã‚“ã§ã„ã‚‹ã¨ãƒ–ãƒã‚°ã§ä¼ãˆã¦ã„る。 LizaMoonã¯ã€æ£è¦ã‚µã‚¤ãƒˆã‚’閲覧ã—ãŸãƒ¦ãƒ¼ã‚¶ãƒ¼ãŒæœ€çµ‚çš„ã«å½ã‚»ã‚ュリティソフトをダウンãƒãƒ¼ãƒ‰ã•ã›ã‚‰ã‚Œã¦ã—ã¾ã„ã€é‡‘éŠã‚„å€‹äººæƒ…å ±ã‚’è©å–ã•ã‚Œã‚‹ã€‚攻撃パターンã¨ã—ã¦ã¯æ–°ã—ã„ã‚‚ã®ã§ã¯ãªã„ãŒã€æ”»æ’ƒã§ä½¿ç”¨ã•ã‚Œã‚‹å½ã‚»ã‚ュリティソフトãŒå®Ÿåœ¨ã®ã‚»ã‚ュリティソフト「Microsoft Security Essentialsã€ã‚’å½ã£ã¦ã„ã‚‹ã“ã¨ã‚„ã€è»¢é€ã•ã‚Œã‚‹ã‚¦ã‚§ãƒ–サイトã®URLã®æœ«å°¾ãŒã™ã¹ã¦ã€Œ/ur.phpã€ã¨ãªã£ã¦ã„ã‚‹ã“ã¨ãŒç‰¹å¾´ã¨ã—ã¦ã„る。 ã“ã®æ”»æ’ƒã«ã‚ˆã‚Šã€ã“ã‚Œã¾ã§ã«å…¨ä¸–ç•Œã§10万以上ã®ã‚¦ã‚§ãƒ–サイトãŒæ”¹ã–ã‚“ã•ã‚ŒãŸã“ã¨ãŒæ˜Žã‚‰ã‹ã«ãªã£ã¦ã„る。æ±äº¬æœ¬ç¤¾ã«è¨ç½®ã—ã¦ã„るリージョナルトレンドラボã«ã‚ˆã‚‹èª¿æŸ»ã«ã‚ˆã£ã¦ã€æ—¥æœ¬
ã‚»ã‚ュリティ通信｜セã‚ュリティ関連ニュース　サイト改ã–ã‚“(2)ãƒã‚¦ã‚¹é£Ÿå“ã€æ°‘主党ã€ãƒãƒ¼ã‚½ãƒ³ãªã©è¢«å®³ã‚µã‚¤ãƒˆ23ã®æ”¹ã–ん状æ³
特ã«æ–ã‚Šã®ãªã„é™ã‚Šã€è¨˜è¼‰ã®é‡‘é¡ã¯ã™ã¹ã¦ç¨Žè¾¼é‡‘é¡ã§ã™ã€‚消費税ã®è¨ˆç®—上ã€å®Ÿéš›ã®è«‹æ±‚é¡ã¨ç•°ãªã‚‹å ´åˆãŒã‚ã‚Šã¾ã™ã€‚ ã‚»ã‚ュリティ対ç–ソフトをãŠç”³ã—è¾¼ã¿æ¸ˆã¿ã®æ–¹ã¸ å„ã‚»ã‚ュリティ対ç–ソフトをãŠç”³ã—è¾¼ã¿å¾Œã€ã”利用ã«ã‚ãŸã£ã¦ã€ã‚¤ãƒ³ã‚¹ãƒˆãƒ¼ãƒ«ã‚’è¡Œã†å¿…è¦ãŒã‚ã‚Šã¾ã™ã€‚ è¨å®šå®Œäº†ã—ã¦ã„ãªã„æ–¹ã¯ã€ä¸‹è¨˜ã‚ˆã‚ŠãŠæ‰‹ç¶šãã‚’ãŠé¡˜ã„ã—ã¾ã™ã€‚
ã¼ããŒPDOを採用ã—ãªã‹ã£ãŸã‚ã‘(Shift_JISã«ã‚ˆã‚‹SQLインジェクション)
補足 ã“ã®è¨˜äº‹ã¯æ—§å¾³ä¸¸æµ©ã®æ—¥è¨˜ã‹ã‚‰ã®è»¢è¼‰ã§ã™ã€‚å…ƒURLã€ã‚¢ãƒ¼ã‚«ã‚¤ãƒ–ã€ã¯ã¦ãªãƒ–ックマーク1ã€ã¯ã¦ãªãƒ–ックマーク2。 備忘ã®ãŸã‚転載ã„ãŸã—ã¾ã™ãŒã€ã“ã®è¨˜äº‹ã¯2010å¹´7月1æ—¥ã«å…¬é–‹ã•ã‚ŒãŸã‚‚ã®ã§ã€å½“時ã®å¾³ä¸¸ã®è€ƒãˆã‚’示ã™ã‚‚ã®ã‚’ã€åŸºæœ¬çš„ã«å†…容を変更ã›ãšã«ãã®ã¾ã¾è»¢è¼‰ã™ã‚‹ã‚‚ã®ã§ã™ã€‚ 補足終ã‚ã‚Š PHPã®ãƒ‡ãƒ¼ã‚¿ãƒ™ãƒ¼ã‚¹ãƒ»ã‚¢ã‚¯ã‚»ã‚¹ãƒ»ãƒ©ã‚¤ãƒ–ラリPDOã¯ã€DB接続時ã®æ–‡å—エンコーディング指定ãŒã§ããªã„ãŸã‚ã€æ–‡å—エンコーディングã®é¸æŠžã«ã‚ˆã£ã¦ã¯ã€ãƒ—レースホルダを使ã£ã¦ã„ã¦ã‚‚SQLインジェクション脆弱性ãŒç™ºç”Ÿã—ã¾ã™ã€‚ 追記(2011/06/19) ã“ã“ã«æ¥ã¦æ€¥ã«ãƒ–クマãŒè¿½åŠ ã•ã‚Œã¯ã˜ã‚ã¦ã„ã¾ã™ãŒã€ã“ã®ã‚¨ãƒ³ãƒˆãƒªã‚’書ã„ã¦ã‹ã‚‰çŠ¶æ³ãŒæ”¹å–„ã—ã¦ã„ã¾ã™ã€‚PHP5.3.6(2011/03/17)ã«ã¦ã€PDOã§ã‚‚データベース接続ã®æ–‡å—エンコーディングを指定ã§ãるよã†ã«ãªã‚Šã¾ã—ãŸã€‚ã“ã®ç‰ˆã§ã€UNIX版ã®PHPã§ã¯è§£æ±ºã—ã¾ã—ãŸãŒã€Win
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
エクスコムグãƒãƒ¼ãƒãƒ«æ ªå¼ä¼šç¤¾ï½œXCom Global, Inc.
http://japan.internet.com/webtech/20110617/7.html
{{#tags}}- {{label}}
{{/tags}}