Jtest Security－Java対応ソースコードセキュリティ検証ツール－

ログイン フォームに入力されたユーザIDとパスワードでユーザを認証するアプリケーションがあるとします。

ここで攻撃者がユーザIDとして｢myid｣、パスワードとして｢>pass’ OR ’a’=’a｣を入力すると、結果として次のクエリーが発行されます。

ORから後が常に真であるため、すべてのレコードがWHERE句の条件に該当するようになり、不正なパスワードでも認証されてしまいます。
そのほかに、DELETE文によるデータの削除、テーブル名やカラム名といったスキーマ情報の取得などの不正操作が行われるケースもあります。

SQLインジェクションに対する防御策としては、入力値を検証してSQL中で意味を持つメタ文字を適切にエスケープすることや、プリペアド ステートメントの使用が有効です。
上の例をプリペアド ステートメントを使用するよう変更すると、次のようになります。

プレースホルダ｢ ? ｣で表されるパラメータは常に文字列として解釈されるため、入力データがSQL文の一部として扱われることはありません。
そのほかに、攻撃者に手がかりを与えないよう、データベースからの詳細なエラーメッセージをユーザに表示しない、また必要最小限の権限でデータベース操作を行うといった対策も挙げられます。