はじめに

自分が作成したwebサイトについて、SQLインジェクションが対策されているのか指摘があったので、調べてみることにしました。

SQLインジェクションとは

WebサイトやWebアプリケーションの脆弱性を利用し、不正なSQL文をWebサイトなどからデータベースへ送ることで個人情報の窃盗やデータ改ざんなどを行うサイバー攻撃手法。

【引用】SQLインジェクションとは？手口や被害リスク・5つの対策までわかりやすく解説

仕組み

「user」というテーブルから「id」を基にデータを抽出

SELECT * FROM user WHERE id = '$ID'

「$ID」に「taro’ or ‘1’=‘1」が注入された場合

SELECT * FROM user WHERE id = 'taro' or '1'='1'

id='taro'が成立した場合はtaroの情報が出力されるが、
成立しない場合は、'1'='1'で全ての場合において成立してしまうので、「user」の全てのデータが出力されてしまう。

対策

1. プレースホルダの利用

SQL文に置く変動箇所を示す記号のこと
この例では「?」のこと

SELECT * FROM user WHERE id = ?

変動箇所に入力された文字がSQL文の一部でなく、文字列として処理されます。それによって、不正SQL文の実行を防ぐことができます。

2. エスケープ処理

エスケープ処理とは、ユーザーから入力された特定の文字や記号を安全な形に変換する処理です。例えば、SQL文において特別な意味を持つシングルクォート「’」をダブルクォート「”」に変更することなどがあります。

エスケープ処理を行うことで、SQLインジェクションを受けても、攻撃コードの中の特定の文字列や記号を削除したり置き換えたりするので、攻撃を無効化することができます。

3. Webアプリケーションを常に最新のバージョンに保つ

OSやアプリケーションのバージョンアップには、発見された脆弱性を修正したものが含まれることが多いので、常に最新のバージョンにしておくことで攻撃を受けるリスクを軽減できます

4. WAFの導入で本格的なセキュリティ対策

WAFとは、Web Application Firewall（ウェブアプリケーションファイアウォール）の略称で、Webサイトを含めたWebアプリケーションの脆弱性を狙ったサイバー攻撃を防御する、セキュリティ対策ツールのひとつです。

実践

正しい名前とパスワードを入力し、送信すると…

ログインできます。

HTML

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <meta name="viewport" content="width=device-width, initial-scale=1.0">
    <title>Document</title>
</head>
<body>
    <form method="post" action="/login">
        <p>名前</p>
        <input type="text" name="id">
        <p>パスワード</p>
        <input type="text" name="pass">
        <input type="submit">
    </form>
</body>
</html>

データベース

テーブル名：user

カラム	値
id	taro
pass	password

対策していない場合

app.js

app.post("/login", (req, res) => {
  connection.query(
    `SELECT * FROM user WHERE id='${req.body.id}' AND pass='${req.body.pass}'`,
    (error, results) => {
      if (results[0] != undefined) {
        login_check(req, res, results);
      } else {
        res.redirect("/");
      }
    }
  );
});

function login_check(req, res, results) {
  for (choice of results) {
    if (choice.id === req.body.id) {
      res.redirect(`/resp?id=${choice.id}`);
      break;
    }
  }
}

送信…

データが取れてしまう。

プレースホルダーによる対策をした場合

app.js

app.post("/login", (req, res) => {
  connection.query(
    'SELECT * FROM user WHERE id=? AND pass=?',
    [req.body.id,req.body.pass],
    (error, results) => {
      if (results[0] != undefined) {
        login_check(req, res, results);
      } else {
        res.redirect("/");
      }
    }
  );
});

function login_check(req, res, results) {
  for (choice of results) {
    if (choice.id === req.body.id) {
      res.redirect(`/resp?id=${choice.id}`);
      break;
    }
  }
}

送信…

送信されない。

参考にしたサイト

おわりに

SQLインジェクションは割と簡単に対策できることが分かりました。
今回はSQLインジェクションだけを対策しましたが、他にもさまざまなセキュリティ対策があると思うので、機会があれば調べてみようと思います。