【SQLインジェクション】INSERT文への攻撃例

2019年11月3日 2024年5月27日

INSERT文に「SQLインジェクション攻撃」ってどうやるんですか？

良い質問だね。

本記事では「SQLインジェクション」の対策をしていないと、どのような被害に遭うのか具体的なINSERT文への攻撃例を紹介していきます。

1 INSERT文への「SQLインジェクション」攻撃例
2 SQLインジェクション攻撃を検証するための事前準備
3 INSERT文への「SQLインジェクション」攻撃の解説

INSERT文への「SQLインジェクション」攻撃例

INSERT文への簡単な攻撃例を紹介します。

よくある登録画面に以下の文字列を入力して「登録」します。

名前：テスト名前', (select user_password from sampledb.user_password where id='1' limit 0,1)) -- 終わり
住所：任意の文字列（空でも平気）※画面例は空

次に登録内容を画面に表示させると、住所の所に登録していない値が表示されています。

この「password01」というのは「SQLインジェクション」攻撃により情報漏洩したデータです。

では、どういう仕組みで情報漏洩に繋がったのか。具体的な攻撃方法を紹介していきます。

SQLインジェクション攻撃を検証するための事前準備

SQLインジェクション攻撃を検証するための、事前準備は以下の通りです。

※Javaで簡易的なサーブレットで作成しています。

データベース

前提条件として以下の2つのテーブルがあるとします。CREATE文は以下の通り。

◆ユーザー情報TBL（users）

CREATE TABLE `sampledb`.`users` (
  `id` INT NOT NULL AUTO_INCREMENT,
  `name` VARCHAR(100) NULL,
  `address` VARCHAR(255) NULL,
  PRIMARY KEY (`id`));

◆ユーザーパスワードTBL（user_password）

CREATE TABLE `sampledb`.`user_password` (
  `id` INT NOT NULL AUTO_INCREMENT,
  `user_id` INT NOT NULL,
  `user_password` VARCHAR(255) NOT NULL,
  PRIMARY KEY (`id`));

そして「user_password」テーブルには以下のデータを作成しておきます。※このデータを「SQLインジェクション」の攻撃で盗み取ることを目的とします。

※通常パスワードは「ハッシュ化」してDBに格納するのが一般的ですが、ここではあえて平文で登録しています。

id	user_id	user_password
1	1	password01

HTML画面

「登録画面」と「登録完了画面」を用意。「登録画面」で入力し登録された結果を「登録完了画面」に表示する流れです。

◆登録画面イメージ図

◆登録画面ソースコード

<%@ page language="java" contentType="text/html; charset=UTF-8" pageEncoding="UTF-8"%>
<!DOCTYPE html>
<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
<title>登録画面</title>
</head>
<body>
<form action="/SampleProject/AddServlet" method="post">
名前：<input type="text" name="name" size="100"/><br />
住所：<input type="text" name="address" size="100" /><br />
<input type="submit" value="登録" />
</form>
</body>
</html>

◆登録完了画面イメージ図

◆登録完了画面ソースコード

<%@ page language="java" contentType="text/html; charset=UTF-8" pageEncoding="UTF-8"%>
<%
  // Servletのデータ受け取り
  request.setCharacterEncoding("UTF-8");
  String id = (String) request.getAttribute("id");
  String name = (String) request.getAttribute("name");
  String address = (String) request.getAttribute("address");
%>
<!DOCTYPE html>
<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
<title>登録完了</title>
</head>
<body>
以下の内容で登録されました。<br />
ID：<%=id%><br />
名前：<%=name%><br />
住所：<%=address%><br /><br />
<a href="http://localhost:8080/SampleProject/add.jsp">登録画面へ</a>
</body>
</html>

サーブレット

◆登録用サーブレット

package servlet;

import java.io.IOException;

import javax.servlet.RequestDispatcher;
import javax.servlet.ServletException;
import javax.servlet.annotation.WebServlet;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;

import dao.UsersDao;
import entity.Users;

/**
 * 登録処理サーブレット
 */
@WebServlet("/AddServlet")
public class AddServlet extends HttpServlet {
  private static final long serialVersionUID = 1L;

    public AddServlet() {
        super();
    }

    /**
     * 登録処理
     */
  protected void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
    request.setCharacterEncoding("UTF-8");
    response.setContentType("text/html; charset=UTF-8");

    String name = request.getParameter("name");
    String address = request.getParameter("address");

    UsersDao dao = new UsersDao();

    // データ登録
    String id = dao.add(name, address);

    if (id != null) {
      // 登録したデータを抽出
      Users users = dao.getOne(id);

      request.setAttribute("id", users.getId());
      request.setAttribute("name", users.getName());
      request.setAttribute("address", users.getAddress());
    }

    // 画面遷移
    RequestDispatcher dispatcher = request.getRequestDispatcher("index.jsp");
        dispatcher.forward(request, response);
  }
}

◆エンティティ

package entity;

import java.io.Serializable;

public class Users implements Serializable {

  private String id;
  private String name;
  private String address;

  public String getId() {
    return id;
  }
  public void setId(String id) {
    this.id = id;
  }
  public String getName() {
    return name;
  }
  public void setName(String name) {
    this.name = name;
  }
  public String getAddress() {
    return address;
  }
  public void setAddress(String address) {
    this.address = address;
  }
}

◆データアクセス

package dao;

import java.sql.Connection;
import java.sql.DriverManager;
import java.sql.PreparedStatement;
import java.sql.ResultSet;
import java.sql.SQLException;
import java.sql.Statement;

import entity.Users;

public class UsersDao {

  private Connection getConnection() throws Exception {
    Class.forName("com.mysql.jdbc.Driver");
    Connection conn = DriverManager.getConnection("jdbc:mysql://localhost/sampledb?characterEncoding=UTF-8&serverTimezone=Asia/Tokyo","root","password");
    	conn.setAutoCommit(false);
    	return conn;
  }

  /**
     * データ取得
     */
  public Users getOne(String id) {
    Users users = null;

    try {
      Connection conn = null;
      PreparedStatement ps = null;
      ResultSet rs = null;

          try {
          	conn = getConnection();

              String sql = "SELECT * FROM sampledb.users WHERE id = '" + id + "';";

              ps = conn.prepareStatement(sql);
              rs = ps.executeQuery();

              if (rs.next()) {
              	users = new Users();
              	users.setId(rs.getString("id"));
              	users.setName(rs.getString("name"));
              	users.setAddress(rs.getString("address"));
              }

          } catch (SQLException e){
          	if (conn != null) {
          		conn.rollback();
          	}
          	System.out.println(e);
          }

          finally {
          	if (conn != null) {
          		conn.close();
          	}
          	if (ps != null) {
          		ps.close();
          	}
          	if (rs != null) {
          		rs.close();
          	}

          }
    } catch (Exception e){
      System.out.println(e);
    }

    return users;
  }

  /**
     * データ登録
     */
  public String add(String name, String address) {
    String autoIncKey = null;

    try {
      Connection conn = null;
      PreparedStatement ps = null;
      ResultSet rs = null;

          try {
          	conn = getConnection();

              String sql = "INSERT INTO users (name,address) VALUES ('" + name + "','" + address +"')";

              ps = conn.prepareStatement(sql,Statement.RETURN_GENERATED_KEYS);
              ps.executeUpdate();

              rs = ps.getGeneratedKeys();
              if (rs.next()) {
              	autoIncKey = String.valueOf(rs.getInt(1));
              }

              conn.commit();

          } catch (SQLException e){
          	if (conn != null) {
          		conn.rollback();
          	}
          	System.out.println(e);
          }

          finally {
          	if (conn != null) {
          		conn.close();
          	}
          	if (ps != null) {
          		ps.close();
          	}
          	if (rs != null) {
          		rs.close();
          	}
          }
    } catch (Exception e){
      System.out.println(e);
    }

    return autoIncKey;
  }
}

INSERT文への「SQLインジェクション」攻撃の解説

ここから具体的にINSERT文への「SQLインジェクション」攻撃について解説していきます。

登録画面で以下のデータを入力し登録します。

名前：テスト名前', (select user_password from sampledb.user_password where id='1' limit 0,1)) -- 終わり
住所：任意の文字列（空でも平気）※画面例は空

ユーザー情報TBL（users）へのINSERT文は以下です。

INSERT INTO users (name,address) VALUES ('" + name + "','" + address +"')

このINSERT文に画面から入力されたデータを代入すると以下となります。

INSERT INTO users (name,address) VALUES ('テスト名前', (select user_password from sampledb.user_password where id='1' limit 0,1)) -- 終わり','')

まず「カラム：name」には「テスト名前」が登録されます。
次に「カラム：address」には「(select user_password from sampledb.user_password where id='1' limit 0,1)」という文字列が入っています。この文字列は、ユーザーパスワードTBL（user_password）から「id = 1」の条件と一致する「user_password」を取得するサブクエリです。
その結果、「カラム：address」には「password01」が登録されます。
そして、INSERT文の最後にある「-- 終わり','')」という文字列。これは「-- 」から後ろはコメントアウトという意味です。

結果、実際に実行されたINSERT文（コメントアウト部分を除く）は、以下と同じです。

INSERT INTO users (name,address) VALUES ('テスト名前', (select user_password from sampledb.user_password where id='1' limit 0,1))

そして、登録内容を閲覧する画面で登録データを見ると、住所の所に「password01」が表示される流れです。

これで、他人の個人情報（※今回の例はパスワード）を盗み取る事に成功。

このように「テーブル名」や「カラム名」が分かっていれば「サブクエリ」を使い簡単に個人情報を盗み取る事が可能であり、深刻な被害にあう危険性があるのです。

怖いですね。SQLインジェクションの対策は大切なんですね。

対策

: SQLインジェクションとは | 具体的な攻撃例と対策方法

続きを見る

helpful

この記事は役に立ちましたか？

comment コメントをキャンセル

2022/12/25

超便利フリーUMLツール「draw.io」でユースケース図を作成する方法

ユースケース図とはユースケース図とは、ユーザー視点でシステムがどう利用されるかを簡単な図で表現したものです。要件定義のフェーズでは顧客からの要求である「RFP」を現実可能な物にする為に顧客と打ち合わせを重ねながら進めていきます。顧客の要求をシステム化するにあたり、文章や口頭でのやりとりだけでは認識に齟齬がでる危険性があるため、文章や口頭だけではなく分かりやすい図でお互いの認識を合わせることが大切です。この時に利用されるUML（Unified Modeling Language※ソフトウェアの機能や ...

2022/12/25

【セキュリティ】サイバー攻撃の種類まとめ

サイバー攻撃の種類まとめサイバー攻撃とは、特定の国家、企業、団体、個人に対しネットワークを通じて「破壊活動」や「データの改ざん」「データの窃取」などを行う行為です。国家の安全保障を脅かしたりすることを目的とする破壊活動は、サイバーテロともいわれています。不正アクセスを試みる攻撃辞書攻撃辞書攻撃とは、辞書に載っている単語や単語の組み合わせからパスワードの候補を作り、その候補を片っ端から試すことによりパスワードを破ろうとする攻撃です。相当な数が収録されている辞書からパスワードの候補を作り、その候補を ...

2024/11/23

データリンク層のプロトコル一覧

データリンク層の主なプロトコル OSI参照モデルの「データリンク層」、TCP/IP階層モデルの「ネットワークインターフェース層」で利用されている主なプロトコルは次のとおりです。イーサネットイーサネット（英：Ethernet）とは、コンピュータをネットワークに接続する際に使う、有線LANの規格のことです。ネットワーク通信の標準規格として広く普及しており、世界中のオフィスや家庭などで利用されています。イーサネットの主な規格は次のとおりです。技術の進歩にあわせ、次々と新しい規格が登場しています。イーサ ...

2024/5/27

VPNのトンネリングとカプセル化を分かりやすく説明

VPNのトンネリングとカプセル化トンネリング（tunneling）とはトンネリング（tunneling）とは、通信ネットワーク上の拠点間で通信するために作られた仮想的な通信通路のことです。遠隔地間で仮想的なプライベートネットワークを構築する VPN（Virtual Private Network）で使用される技術で、トンネリングにより作られた仮想通路のことをトンネルとも呼びます。トンネリングで作られた仮想通路（トンネル）は、ネットワーク上から見えないため、悪意のある攻撃者など外部からの不正侵入を防 ...

2024/12/8

応用情報技術者試験が難しいと思う人でも合格できる試験対策！！

SEとして働くには持っておきたい資格である「応用情報技術者試験」私も2度目で無事合格しました。(実際は試験受けずに諦めたこと過去2度、そう考えると4度目の挑戦です。）応用情報技術者試験とは？ IPA 独立行政法人が管理している国家資格。IPA 独立行政法人には以下のように定義されています。高度IT人材となるために必要な応用的知識・技能をもち、高度IT人材としての方向性を確立した者出典：https://www.jitec.ipa.go.jp/1_11seido/ap.html レベルとしては3段階あ ...

2024/12/8

ネットワーク層（インターネット層）のプロトコル一覧

主なネットワーク層（インターネット層）のプロトコル IP（Internet Protocol） IP（インターネットプロトコル）とは、インターネット上で通信するためには欠かせないプロトコルのことで、具体的には「IPアドレス」を使い、パケットがネットワークを経由して正しい宛先に到達できるようにします。インターネットを通過するデータは、パケットと呼ばれる小さな断片に分割されます。IPの情報は各パケットに付加され、その情報からルータは適切な場所にパケットを転送します。 IPアドレスとは、インターネット上の住所 ...

ロリポップからエックスサーバーへ移行した結果アクセス数が激減した話

SQLインジェクションとは | 具体的な攻撃例と対策方法

【SQLインジェクション】INSERT文への攻撃例

INSERT文への「SQLインジェクション」攻撃例

SQLインジェクション攻撃を検証するための事前準備

データベース

HTML画面

サーブレット

INSERT文への「SQLインジェクション」攻撃の解説

SQLインジェクションとは | 具体的な攻撃例と対策方法

helpful

ツリー型ネットワークとは | 分かりやすく図解で解説

スター型ネットワークとは | 分かりやすく図解で解説

バス型ネットワークとは | 分かりやすく図解で解説

リング型ネットワークとは | 分かりやすく図解で解説

トークンリングとは | 分かりやすく図解で解説

ITを分かりやすく解説