ここのサイトは、自作のCGIで動いていますから、何か不具合が有れば、自分のせいと言う事になるので、そのあたり、色々気にはしているのですが、
結構気になるあたりなのはコレ
SQLインジェクション
たとえば、ここには、記事を検索する機能が有ります。
もしここに、SQL文を埋め込んだ人が居た場合、それがどうなるかというのです。
たとえば
SELECT xx from yy where zz=入力された文字;
と安易な処理をしていた場合
入力された文字列が
あ;何かやらかしたいSQL文
で有った場合、
yyテーブルからzz＝あのテーブルを探して、xx列を返した後に
「何かやらかしたいSQL文」を続けて実行してしまうわけです。
一般的には文字列は”で区切ってSQL文が作成されるため
「あ”；悪意有るSQL文」と打つとか 「）」でwhereを区切っている場合に逢わせて
「あ”）；悪意有るSQL文」とうつとか・・・まぁこのあたりは、可能性とパターンの数でしかないわけで、多少複雑なＳＱＬ文であったとしても、いつかは、意図しないSQL文が実行されてしまうわけです。
なので、それを防ぐ方法として、一番簡素なのが、入力された文字の中で"を見つけたら消してしまう方法です。
where句に"で囲って引き渡しているのであれば、"が途中に入らなければ、悪意有る行動は起きないはずです。
でも、それにもまして、いかがわしい動作もあります。
それがエスケープコードと言われる物です。
一般的なプログラム言語では￥ｎと書くと、コレを改行コードとして処理します。
￥Ｈと書くとBackSpaceと同じ動作になります。
もし、エスケープコードを実行してしまう状態の場合、一番先頭にコレを書けば、
「where = "入力された文字"」としてwhere句を作るところ「where = 入力された文字"」となってしまいます。なので「￥Ｈ１２３；悪意有るSQL文」と入力した場合、先頭の"を削除され、好きなコードを実行される可能性があります。
まぁ、SQLの作成におけるエスケープコードの利用を制限すればいいのですが、まぁこれらの対策も、言ってしまえば、いたちごっこなのです。
"を削除するのであれば￥”Ｈと打てば、”を削除された後に￥Ｈのエスケープコードを実行してしまうかもしれません。
コレは、言わば、悪用するコードを作ろうとする人と、ある程度のコードは使える様にしたままで、それ以外のは使わせないようにと、あらゆる手段で、悪意有るコードがないか探す側の戦いなのです。
で、どうすればいいのか分からないわけです（笑
まぁ、色々試しずつって感じでしょうか？ |
