SQL注入とは何ですか？また、どのように防止できますか？

SQLインジェクションは、攻撃者が、検証されていないユーザーまたは未装備のユーザー入力を介して悪意のあるSQLコードを挿入することにより、データベースクエリを操作できるようにするセキュリティの脆弱性です。アプリケーションがSQLクエリにユーザー入力を直接含めると、攻撃者が認証、アクセス、修正、または削除をバイパスし、システムを引き継ぐことができる場合に機能します。一般的なタイプには、インバンドSQLI（エラーベースまたはユニオンベース）、ブラインドSQLI（応答動作に基づく）、およびバンド外SQLI（外部チャネルを使用）が含まれます。予防のベストプラクティスには、次のものが含まれます。1。パラメーター化されたクエリ（準備されたステートメント）を使用して、SQLコードをデータから分離します。 2。噴射を自動的に防止するORMツールを活用します。 3。すべての入力の検証と消毒。 4.データベースの権限を最小限の特権に制限する。 5。Webアプリケーションファイアウォール（WAF）の採用。開発者は、簡単にバイパスできるシンプルなキーワードフィルターに依存することを避け、代わりに注入の可能性を排除する安全なコーディングプラクティスを使用する必要があります。

SQLインジェクションは、攻撃者がアプリケーションがデータベースに対して行うクエリを妨害できるセキュリティの脆弱性の一種です。この欠陥を活用することにより、アクセスできないデータを表示、変更、または削除することができます。これは、システム全体を制御することさえあります。

SQLインジェクションの仕組み

そのコアでは、SQLインジェクションは、アプリケーションがユーザー入力（フォームフィールドやURLパラメーターなど）を取得し、適切に検証または消毒することなくSQLクエリに直接含めるときに発生します。

たとえば、このようなクエリを使用してデータベースにユーザー名とパスワードが存在するかどうかをチェックするログインフォームを想像してください。

 select * from users = 'input_username'およびpassword = 'input_password';

アプリが入力を安全に処理しない場合、攻撃者はユーザー名またはパスワードとして' OR '1'='1ようなものを入力できます。結果のクエリは次のようになるかもしれません：

 select * fromユーザーはusername = ''または '1' = '1'およびpassword = '';

'1'='1'は常に真であるため、これは認証を完全にバイパスし、有効な資格情報なしで攻撃者をログインさせる可能性があります。

一般的なタイプのSQL注入

いくつかのバリエーションがありますが、ここにあなたが知っておくべき最も一般的なものがあります：

• インバンドSQLI - 同じ通信チャネルを使用して攻撃を開始し、結果を収集します。これは、エラーベースまたは組合ベースの攻撃でよく見られます。
• ブラインドSQLI - 攻撃者は結果を直接見ることができないため、アプリケーションの動作（応答時間またはブール応答など）に基づいて情報を推測します。
• バンド外のSQLI - データベースサーバーに依存して、攻撃者によって制御された別のマシンにデータを送信しますが、これはあまり一般的ではありませんが、それでも危険です。

これらの方法は、SQL注入が侵入するだけではないことを示しています。また、時間の経過とともに敏感なデータを静かに抽出するためにも使用できます。

SQL注射を防ぐためのベストプラクティス

良いニュースは、SQL注入を最新の開発慣行で効果的に防ぐことができるということです。

• paramizedパラメーター化されたクエリ（作成されたステートメント）を使用する
  これはナンバーワンの防御です。文字列を連結してクエリを作成する代わりに、ユーザー入力にプレースホルダーを使用します。データベースドライバーは、これらの入力を、実行可能なコードではなくデータとして厳密に扱います。

• orm ORMツールを使用します
  Sqlalchemy（Python）、Hibernate（Java）、ActivereCord（Ruby）などのフレームワークは、正しく使用する限り、設計によるSQL注入から自動的に保護します。

• cultiveすべての入力を検証および消毒します
  準備されたステートメントを使用していても、受け入れているデータの種類を検証することをお勧めします。たとえば、電子メールフィールドは電子メールパターンと一致する必要があり、数値フィールドは数値のみを受け入れる必要があります。

• cabsデータベースの権限を制限します
  アプリケーションが最小限の特権でデータベースアカウントを使用していることを確認してください。データのみを読み取る必要がある場合は、書き込みアクセスを提供しないでください。そうすれば、誰かが何かを注入したとしても、損害は限られています。

• webアプリケーションファイアウォール（WAF）を使用する
  FAFSは、絶対確実ではありませんが、アプリケーションに到達する前に疑わしいパターンを検出およびブロックするのに役立ちます。

簡単なフィルターに頼らないでください

一部の開発者は、 DROP 、 UNION 、引用などの特定のキーワードを除外してSQL注入を防止しようとします。しかし、攻撃者は賢いです - 彼らはこれらのキーワードを簡単なフィルターをバイパスする方法でエンコードまたは難読化することができます。

したがって、悪い入力がどのように見えるかを推測しようとする代わりに、最初から注入を不可能にする安全なコーディング技術に焦点を当てます。

それは基本的に、SQLインジェクションの仕組みであり、それを止めるためにできることです。防ぐのは難しくありませんが、開発中に規律と意識が必要です。

以上がSQL注入とは何ですか？また、どのように防止できますか？の詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。