- SQL インジェクションは、データベースや Web サイトに対する最も一般的な脅威の 1 つであり、攻撃者が機密情報を操作、盗難、さらには破壊することを可能にします。
- SQL インジェクション攻撃には、インバンド、ブラインド、アウトオブバンドなどいくつかの種類があり、それぞれに固有の特性とリスクがあります。
- 入力検証を適用し、準備されたステートメントを使用し、ソフトウェアを最新の状態に保つことが、このような種類の攻撃を防ぐ鍵となります。
SQLインジェクションは、数十年前から認識されているにもかかわらず、企業と個人ユーザーの両方にとって依然として頭痛の種となっているサイバー脅威の一つです。攻撃者がわずか数行のコードでデータベース全体を制御できるという事実だけでも、特に今日の相互接続されたデジタル世界においては、警戒すべき事態と言えるでしょう。
このガイドでは、SQLインジェクションの仕組み、攻撃の種類、具体的な例、そして最も重要な点として、この一般的な脆弱性からデータとシステムを保護する方法について徹底的に解説します。システムを保護することで、深刻な事態を回避し、情報セキュリティを維持することができます。ウェブサイトのセキュリティを万全にしたい方、あるいはこの概念がなぜ重要なのかを理解したい方は、ぜひ読み進めてください。
SQL インジェクションとは何ですか? また、なぜ依然としてリスクがあるのですか?
SQLインジェクション（SQLi）とは、 Webアプリケーションが行うデータベースクエリに悪意のあるコードを挿入する攻撃手法であり、フォーム、URL、Cookie、その他の外部データソースなど、ユーザー入力を悪用します。この手法により、攻撃者はデータベースの動作を操作し、機密情報を抽出したり、レコードを改ざんしたり、さらには破壊したりすることが可能になります。
SQLとは、構造化照会言語（Structured Query Language）の略で、リレーショナルデータベースへのアクセスと操作のための汎用言語です。現代のウェブサイト、オンラインストア、フォーラム、ブログ、または動的データを扱うアプリケーションは、情報の保存と取得に何らかの形でSQLを使用しています。
なぜこの問題は依然として存在するのでしょうか？安全な開発手法は進化を遂げてきましたが、実際には、特に中小企業や更新が不十分なウェブサイトで流通しているソフトウェアの多くには、依然として脆弱性が存在します。実際、2022年には1,000件を超える新たなSQLインジェクションの脆弱性がCVEデータベースに追加されており、このリスクが決して架空のものではないことを示しています。
SQL インジェクション攻撃はどのように機能しますか?
この攻撃の仕組みは見た目よりも単純です。ユーザーが名前とパスワードを入力するログインフォームがあるとします。アプリケーションは内部的に次のようなクエリを生成します。
SELECT * FROM users WHERE username = 'usuario' AND password = 'contraseña';
開発者が入力を適切に検証しない場合、攻撃者はユーザー フィールドに次の内容を書き込む可能性があります。
admin'; --
結果として、クエリは次のようになります。
SELECT * FROM users WHERE username = 'admin'; --' AND password = 'loquesea';
SQLにおける二重ハイフン（—）はコメントの開始を示します。これに続く内容はすべて無視されるため、パスワード認証は無効となり、「admin」と入力するだけでエントリが有効になり、攻撃者に完全なアクセス権が与えられます。さらに、データベースの削除、機密情報のリストアップ、サーバー上でのコマンド実行など、悪用される可能性は無限大です。
SQLインジェクションの主な種類
SQLi の脆弱性は、攻撃者が影響を受けるシステムとどのように対話するかに応じて分類できます。
1. インバンドSQLインジェクション
これは最も直接的かつ簡単に利用できる方法です。攻撃者は同じチャネルを使用して攻撃を開始し、結果を受け取ります。インバンド インジェクションの中で注目すべきものは次のとおりです。
- エラーに基づく: 攻撃者は、データベースの内部構造 (テーブル、列など) に関する手がかりとなるエラー メッセージをデータベースに強制的に表示させます。
- 結合に基づく: SQL演算子を活用する 連合 正当なクエリ結果と、他のテーブルから抽出したいデータを組み合わせます。
2. 推論的またはブラインドSQLインジェクション
このバージョンでは、攻撃者はエラー メッセージや直接的な結果を受け取りませんが、サーバーの応答の変更を通じて動作を推測できます。 2 つのサブタイプが区別されます。
- ブールベース: 「1=1」や「1=2」などの条件は、条件が真か偽かによってウェブサイトの動作が異なるかどうかを観察するためにクエリで使用されます。
- 時間ベース: 応答に遅延を導入する関数が使用される。 寝る（） MySQL で。遅延が検出されると、攻撃者は自分の命令が実行されたことを認識します。
3. 帯域外SQLインジェクション
帯域外攻撃では、たとえばデータベースに攻撃者が制御するサーバーへの HTTP または DNS 要求を行うように要求するなど、代替チャネルを介して通信が実行されます。この手法は、従来のルートがブロックまたは監視されている場合に使用されます。
SQLインジェクションの一般的な侵入経路
SQL インジェクションは通常、ユーザーが Web サイトに情報を送信するあらゆるポイントを悪用します。
- 登録、ログイン、コメント、検索フォーム: 後でクエリで使用されるデータが書き込まれるフィールド。
- GET パラメータを含む URL: 多くのアプリケーションは、事前の制御なしに、Web アドレスのパラメータから SQL クエリに直接データを追加します。
- クッキー（Cookie）について： 一部のアプリケーションはブラウザの Cookie の内容を処理し、それを使用してデータベースと対話することで、別の可能性を切り開きます。
- サーバー変数: 場合によっては、アプリケーションがサーバー変数をフィルタリングせず、HTTP ヘッダーを介して操作されることがあります。
SQLインジェクション攻撃の実例
脅威の深刻さとそれがなぜ残っているのかを理解するには、明確な例を見るのが一番です。
- データを抽出します。 攻撃者がフィールドに「' OR '1'='1」と入力すると、クエリによってデータベース内のすべてのレコードが返され、個人情報、パスワード、またはプライベート情報が取得される可能性があります。
- テーブルを削除します: 次のような技術を通じて
nombre'; DROP TABLE usuarios; --攻撃者はテーブル全体を強制的に削除し、回復不可能な損害を引き起こします。 - 不正アクセス: 認証フィールドを悪用することで、攻撃者はパスワードを知らなくてもアカウントにアクセスし、権限を管理者レベルに昇格します。
- クッキー中毒: ウェブサイトが Cookie の内容を検証しない場合、攻撃者はそれを変更して SQL ステートメントを含め、データへのアクセスや変更などのさまざまな目的を達成できます。
SQL インジェクション攻撃はどのような結果をもたらす可能性がありますか?
SQLi の影響は、個人的にも職業的にも壊滅的なものとなる可能性があります。潜在的な損害には次のようなものがあります:
- 機密情報の損失: 顧客データ、履歴、電子メール、電話番号、クレジットカードなどが悪意のある人物の手に渡る可能性があります。
- 個人情報の盗難： 盗まれたデータベース情報を使用して顧客になりすましたり、金融詐欺を働いたり、金銭をゆすったりすること。
- 妨害行為とデータ破壊: 攻撃者はテーブルを削除したり、レコードを変更したり、重要なアプリケーションを麻痺させたりすることができます。
- 評判の失墜と法的制裁: データ侵害は顧客やパートナーの信頼に深刻な影響を与え、GDPR や LOPDGDD などの法律に基づいて罰金が科せられる可能性があります。
- 経済的コスト: 調査によると、SQL インジェクション後のシステムの復旧には、ビジネス損失や補償金を含めずとも数十万ユーロの費用がかかる可能性があります。
有名なSQLi攻撃の実際の例
数多くの企業やプラットフォームが SQL インジェクションの被害に遭っています。こうした攻撃の範囲と危険性を示すいくつかの事例:
- 2019年のフォートナイト: SQL の脆弱性により、攻撃者はこの人気オンライン ビデオ ゲームのユーザー アカウントと個人データにアクセスできるようになりました。
- 2018年のシスコ： ライセンス管理システムの脆弱性により、攻撃者が管理者権限でコマンドを実行できる可能性があります。
- 2014年のテスラ： セキュリティ研究者は、ウェブサイトの SQL 脆弱性を悪用することでユーザーデータを盗み、権限を昇格することが可能であることを実証しました。
なぜこのような脆弱性に陥ることがよくあるのでしょうか?
SQL インジェクションの最大の問題は、実行が簡単で、多くの Web アプリケーションが、適切にプログラムおよび保守されていない場合、いかに単純であっても、脆弱性の影響を受ける可能性があることです。最も一般的な原因は次のとおりです。
- ユーザー入力の検証が不足しています: フィルタリングされていないものがデータベースにアクセスできるようにすると、攻撃者に侵入される可能性があります。
- SQL クエリの動的構築: コントロールを適用せずに、ユーザー指定の変数を直接連結してクエリを形成すると、結果は悲惨なものになる可能性があります。
- 古いソフトウェアやパッチが適用されていないソフトウェアの使用: CMS、プラグイン、フレームワーク、またはデータベース マネージャー自体を最新の状態に保たないことも、別のリスク要因となります。
- データベースの不必要なインターネットへの公開: 内部ネットワークからのみアクセス可能な SQL サーバーを残しておくと、サイバー犯罪者にとって事態がはるかに容易になります。
SQLインジェクションを防ぐ方法：推奨されるテクニックとベストプラクティス
幸いなことに、ウェブサイトやアプリケーションをSQLインジェクション攻撃から保護する方法は数多く存在します。ベストプラクティスを適用することで、リスクを大幅に軽減できます。
1. すべての入力の厳格な検証
ユーザーから受信したデータ（フォーム、パラメータ、HTTPヘッダー、Cookieなど）を処理する前に、必ずデータの種類、長さ、形式、および許容値をチェックする必要があります。たとえば、フィールドが数値でなければならない場合、それ以外の値はすべて自動的に拒否する必要があります。
2. 準備されたステートメントとパラメータ化されたクエリの使用
プリペアドステートメントを使用すると、データとSQLコードを区別できます。プレースホルダー（？）や変数を導入することで、悪意のあるコードがクエリの一部として解釈されるのを防ぎます。この方法は、SQLインジェクション攻撃を防ぐ上で最も効果的な方法の一つです。
PHP と MySQLi の簡単な例:
$stmt = $conn->prepare("SELECT * FROM users WHERE username = ? AND password = ?");
$stmt->bind_param("ss", $user, $pass);
$stmt->execute();
3. 特殊文字をエスケープする
パラメータ化クエリを使用できない場合は、言語または開発フレームワーク固有の関数を使用して、SQL で特別な意味を持つ文字 (引用符、セミコロン、ハイフンなど) を手動でエスケープすることが不可欠です。ただし、この手法は正しく適用しないと抜け穴が生じる可能性があるため、唯一の防御策として用いるべきではありません。
4. ユーザーから詳細とエラーメッセージを非表示にする
SQLエラーメッセージは、データベース構造に関する手がかりとなる可能性があるため、ユーザーには決して表示しないでください。一般的なメッセージを表示し、技術的な詳細は内部ログに保存して、技術チームが分析できるようにしてください。
5. データベースユーザーの権限を制限する
ウェブサイトをデータベースに接続する際に、決して「root」ユーザーを使用しないでください。必要最低限の権限（読み取り専用、必要に応じて変更専用）を持つ専用ユーザーを作成してください。こうすることで、障害が発生した場合でも被害を最小限に抑えることができます。
6. ソフトウェア、プラグイン、フレームワークを最新の状態に保つ
アップデートは通常、セキュリティ上の脆弱性を修正します。攻撃者はしばしば新たに発見された、パッチが適用されていない脆弱性を悪用するため、パッチやバージョンを常に最新の状態に保つことは、問題を回避するための最善策の一つです。
7. ウェブアプリケーションファイアウォール（WAF）を使用する
ウェブアプリケーションファイアウォールは、ウェブサイトへのトラフィックをリアルタイムで分析し、疑わしいパターンや既知のSQLインジェクション攻撃、その他の種類の攻撃をブロックします。
SQLiの脆弱性をチェックするための便利なツールとリソース
セキュリティは一度きりの作業ではありません。アプリケーションの潜在的なセキュリティ上の欠陥を特定できる自動化ツールが存在します。例えば、以下のようなものがあります。
- SQLマップ: SQL インジェクションの脆弱性を検出して悪用し、他者より先にパッチを適用できるように支援するオープンソース ツールです。
- WPScan: WordPress に特化しており、リスクがある可能性のあるプラグイン、テーマ、またはエコシステムの他の部分を特定できます。
特定のシステムとアプリケーションにおけるSQLインジェクション：WordPressとそれ以降
世界で最も人気のあるCMSであるWordPressは、コアとなるSQLインジェクション対策を強化してきました。しかし、サードパーティ製のプラグインやテーマは依然として脆弱性の潜在的な原因となっています。そのため、常に最新の状態に保たれたコンポーネントのみを使用し、wpdb->prepare()などのWordPressネイティブ関数を活用してデータベースと安全にやり取りすることをお勧めします。
その他のカスタムアプリケーション、オンラインストア、フォーラム、ホームシステムなどは、適切な対策が講じられていない場合、特に脆弱になる可能性があります。リスクを最小限に抑えるためには、ソフトウェアのインベントリを常に最新の状態に保ち、定期的な監査を実施することが不可欠です。
法的側面: SQL インジェクションを悪用することは違法ですか?
SQLインジェクション攻撃は、情報やリソースへの不正アクセスを伴うため、常に違法行為です。具体的な法律は国によって異なりますが、スペインをはじめとする西欧諸国では、攻撃対象のシステムが安全でない場合であっても、他人のデータにアクセス、変更、削除した者は厳しく処罰されます。悪用すれば刑事罰の対象となる可能性があります。
SQLiへの扉を開くよくある間違い
最も一般的な見落としを検証すると、入手可能な情報が豊富であるにもかかわらず、なぜこのようなインシデントが引き続き発生するのかが説明できます。典型的な障害は次のとおりです:
- エントリをフィルタリングせずに公開フォームを離れる特にコメント、検索、連絡先セクションで役立ちます。
- 安全でないコードの再利用 セキュリティを考慮していない古い例やチュートリアルから。
- 内部システムを外部からアクセスできるようにする 厳格な認証制御や IP フィルタリングはありません。
- 定期的な安全性試験の実施の失敗 コードの変更または更新後。
SQLインジェクションの経済的および評判上の損失
技術的な損害以外にも、SQL 侵害により数百万ドル規模の損失が発生する可能性があります。米海軍のような企業は、重要なサービスが何か月も停止またはブロックされるなど、大規模な混乱に見舞われ、1件のインシデントで対応および復旧コストが50万ドルを超えています。
さらに、評判の失墜は長期にわたる可能性があります。重大なインシデントが発生した後、顧客やユーザーの信頼を取り戻すことは、法的措置の可能性もあることは言うまでもなく、困難な作業になる可能性があります。
自分のウェブサイトが危険にさらされているかどうかはどうすればわかりますか? SQLi攻撃の兆候と症状
攻撃は気付かれない場合もありますが、Web サイトが侵害された、または侵害されつつあることを示す警告サインがあります。
- 不審なリクエストの急増 または異常なトラフィック。
- ユーザーに表示されるSQLエラーメッセージ特にフォームに奇妙なデータを入力する場合に役立ちます。
- 予期しないリダイレクトやポップアップ そして未知のバナー。
- データベースの予期しない変更 (削除、変更された記録、制御のない新しいアカウント)。
SQLi 攻撃を受けていることが検出された場合、または疑われる場合はどうすればよいでしょうか?
迅速な対応が不可欠です。潜在的な攻撃の兆候を検知した場合は、以下の手順に従って被害を軽減し、セキュリティを回復してください。
- 影響を受けるウェブサイトまたは機能を一時的に切断します さらなる損害を防ぐためです。
- ホスティングプロバイダとセキュリティ担当者に通知する 会社。
- AEPDと影響を受けるユーザーに通知する 個人情報の漏洩があった場合には法令を遵守します。
- 以前のクリーンなバックアップを復元する ログと記録を確認して侵害を特定します。
- セキュリティ監査プロセスを開始する 将来の事故を防ぐためです。
教育と訓練の役割
単にパッチを適用したり、セキュリティプラグインをインストールしたりするだけでは不十分です。ITチームとユーザーに対する継続的なトレーニングこそが、このようなサイバー攻撃やその他の種類のサイバー攻撃に対する最善の防御策です。講演会を開催したり、最新の脆弱性に関するアラートを掲載したニュースレターを配信したり、全員がベストプラクティスを熟知していることを確認したりすることが、長期的に見て大きな違いを生み出します。
安全を保つための重要なアイデア
SQLインジェクションは依然として頻繁に発生する脅威であり、適切な対策を講じなければデータやシステムの整合性を損なう可能性があります。すべての入力を制御し、最新の保護技術を使用し、ソフトウェアを常に最新の状態に保つことが、最善の予防策です。セキュリティへの投資は、金銭的な損失を回避するだけでなく、企業の評判とユーザーからの信頼を守ることにもつながります。
