なかなか撲滅できないSQLインジェクション、その原理と対策を知る【伏石ちゃんは意図に反したい】

FILE 0x0A: SQLインジェクション

対策方法

充希

どうやって対策すればいいんでしょうか？

先生

文字列結合とか置換とか、単純な文字列編集でSQL文を組み立てないことだ

充希

そんなことって可能なんですか？

先生

バインド機構を使ってプレースホルダーに値をセットする方法が定番だな。こんな風な感じだ

　例えば、C#による記述方法を見てみましょう。

using Microsoft.Data.Sqlite;
using System;

namespace sample;

class Program
{
    static void Main(string[] args)
    {
        using var conn = new SqliteConnection("Data Source=:memory:");

        conn.Open();
        
        using var create = conn.CreateCommand();
        create.CommandText = "CREATE TABLE Test (id INTEGER PRIMARY KEY AUTOINCREMENT, kana VARCHAR(128));";
        create.ExecuteNonQuery();

        
        using var insert = conn.CreateCommand();
        insert.CommandText = "INSERT INTO Test (kana) VALUES ($kana);";
        insert.Parameters.AddWithValue("$kana", "'--')/ヨッ");
        insert.ExecuteNonQuery();


        using var cmd = conn.CreateCommand();
        cmd.CommandText = "SELECT * FROM Test WHERE kana = $kana";
        cmd.Parameters.AddWithValue("$kana", "'--')/ヨッ");
        var reader = cmd.ExecuteReader();

        while(reader.Read())
        {
            var id = (long)reader["id"];
            var kana = (string)reader["kana"];

            Console.WriteLine("id = {0}, kana = {1}", id, kana);
        }

    }
}

　ここで、バインド機構を使用しているのは以下の箇所です。

        insert.CommandText = "INSERT INTO Test (kana) VALUES ($kana);";
        insert.Parameters.AddWithValue("$kana", "'--')/ヨッ");

        cmd.CommandText = "SELECT * FROM Test WHERE kana = $kana";
        cmd.Parameters.AddWithValue("$kana", "'--')/ヨッ");

　ここで$kanaがプレースホルダです。そこに'--')/ヨッという値を当てはめるのがバインド機構です。ここではParametersにセットされた内容が、SQL実行時に当てはめられて実行されます。

　実際に実行してみると、正常に'--')/ヨッの値がテーブルに挿入され、検索条件にも使用できていることが確認できます。

PS C:\hoge\sample> dotnet run
id = 1, kana = '--')/ヨッ
PS C:\hoge\sample> 

充希

文字列を置換しているだけでは？

先生

いや、それが違うんだ。検索クエリを文字列置換に変えてみよう

        cmd.CommandText = "SELECT * FROM Test WHERE kana = '$kana'".Replace("$kana", "'--')/ヨッ");
        var reader = cmd.ExecuteReader();

先生

そうする結果はこうなる

PS C:\hoge\sample> dotnet run
PS C:\hoge\sample> 

充希

何もヒットしない

　このように、単純に文字列置換が行なわれるわけではありません。

　実行されるSQL文とは別にDBに値が渡されるため、'--')/ヨッというような特別な意味を持つ記号が含まれていても異常動作を引き起こさないのです。

先生

他にも、O/Rマッパーを使用するという手もある。それならSQLの生成自体もO/Rマッパーが行なってくれるから、そもそもSQL文を直接書く必要すらないんだ

充希

……そんな便利なものがあるなら、とっくに撲滅できるはずなのに

先生

それが良し悪しなんだな。SQLを書かなくてもDBを操作できる、言い換えれば、SQLインジェクションの知識がない人が多い。パフォーマンスチューニングで急にSQL文を書かされて、脆弱性を作り込んだりするんだ

充希

なるほど

先生

長らく事故がおきなければリスクは軽視されがちだ。改めて認識される切っ掛けが'--')/ヨッ程度で良かったじゃないか

充希

……はい