ＳＱＬの窓 イラストAC フリー素材
<< 本心 | TOP | TwitterAPI : OAuth の手順と受け渡しす… >>

2010年05月28日

PHP と MySQL 限定で SQL インジェクションを考えた場合

 
SQLインジェクションの要点は、'と' の間に現れる文字列をどうするか、と言う事に集約されます。その文字列表現になにも問題無ければ、いかなる文字列も '(シングルクオート)にはさまれた文字列でしか無いはずだからです。

そもそも PHP を扱う場合、もともとWEBアプリケーションで使う事を想定されているので、入力文字がプログラマの意図せぬ変換されている場合があります。ですから、SQLインジェクションを考える場合はこれを排除して考える必要があります。

つまり、最初は「入力されたままの文字列がアプリケーションに渡される」という前提で考えます。その場合最初に気をつけるのが '(シングルクオート) です。

入力値の'(シングルクオート) は、SQLの常識としてそのままでは正しく動かないので、'' に変換します。通常はこれで十分なわけですが、MySQL という RDBMS を扱う上でさらに注意が必要になります。

$query = "select * from 社員マスタ";
$query .= " where 社員コード = '{$_POST['fld1']}'";

//入力値が ' or 1=1# だと、
// select * from 社員マスタ where 社員コード = '' or 1=1#' となり、
// 全件表示されてしまうので
// '' or 1=1# と変換すると入力値はすべて文字列となります

これはこれで OK なのですが、\' or 1=1# と入力されてしまうと、\'' or 1=1# と変換されて、\' が '' 扱いになって、結局 以下のようになって全て選択されます( '' の間の \' は、文字列扱いの ' になるので、文字列の終端が変化してしまう )

select * from 社員マスタ where 社員コード = '\'' or 1=1#'

で、それらをふまえた上で、PHP には、MySQL のドキュメントにも出現する API である、mysql_real_escape_string という関数を使うと、一括で危険な文字を変換できます。


MySQL ドキュメント

MySQL :: MySQL 5.1 リファレンスマニュアル :: 23.2.3.53 mysql_real_escape_string()
【DB関連の最新記事】
posted by at 2010-05-28 16:12 | DB関連 | このブログの読者になる | 更新情報をチェックする


Powered by Seesaa