SQLインジェクションとは

最終更新日 2023年5月7日

SQLインジェクションは、データベースとのやりとりにStructured Query Language（SQL）を使用するWebアプリケーションを標的とするサイバー攻撃の一種です。攻撃者は、フォームやURLなどのユーザー入力フィールドに悪意のあるSQLコードを注入することで、アプリケーションの脆弱性を悪用し、データベースを意図しない方法で操作します。これにより、不正アクセスやデータの窃取、あるいは影響を受けたデータベースの完全な制御が可能になります。

SQLインジェクション攻撃の例

あるWebアプリケーションに、ユーザー名とパスワードを必要とするログインフォームがあるとします。
ユーザーが認証情報を入力すると、アプリケーションは SQL クエリを生成して、提供された情報がデータベース内の既存のユーザーと一致するかどうかをチェックします。典型的なSQLクエリは、次のようなものです。

SELECT * FROM users WHERE username='entered_username' AND password='entered_password';

攻撃者は、ユーザ名またはパスワードのフィールドに、OR 1=1 のような悪意のある文字列を入力します。これにより、SQLクエリが次のように変更されます。

SELECT * FROM users WHERE username='' OR '1'='1' AND password='entered_password';

修正されたクエリは、条件 1=1 が常に真であるため、「users」テーブルのすべての行を返します。その結果、攻撃者はログインプロセスを迂回し、アプリケーションへの不正なアクセスを獲得します。

SQLインジェクション攻撃を防ぐため安全なコーディング方法

プリペアドステートメントやパラメータ化されたクエリを使用して、ユーザー入力をSQLクエリ構造から分離し、攻撃者が悪意のあるコードを注入することを困難にする
ユーザー入力に危険な文字やパターンが含まれていないことを確認するために、ユーザー入力を検証し、サニタイズする
データベースに最小権限アクセス制御を導入し、攻撃者が脆弱性の悪用に成功した場合の潜在的な損害を抑制する

これらのベストプラクティスに従うことで、開発者はSQLインジェクション攻撃のリスクを大幅に低減し、データベースに保存されている機密データを保護できます。