目次:
定義-SQLインジェクション攻撃とはどういう意味ですか？
SQLインジェクション攻撃は、Webサイトインターフェイスを介してデータベースにSQLコマンドを発行する試みです。 これは、ユーザー名やパスワードなどの保存されたデータベース情報を取得するためです。
このコードインジェクション手法は、アプリケーションのデータベースレイヤーのセキュリティ脆弱性を悪用します。 ハッカーは、たとえば、ログインフォームを利用してデータベースに保存されているデータにアクセスするなど、コーディングが不十分なWebサイトやWebアプリを悪用してSQLコマンドを挿入します。
簡単に言えば、SQL入力攻撃は、ユーザー入力フィールドによりSQLステートメントがデータベースをパススルーして直接クエリできるようにするために発生します。
TechopediaはSQLインジェクション攻撃について説明します
最新のWebサイトには、ログインページ、検索ページ、サポートおよび製品リクエストフォーム、ショッピングカート、フィードバックフォームなどが含まれます。
これらのWebサイトの機能はすべて、ユーザー入力フィールドが利用できるため、SQLインジェクション攻撃に対して脆弱です。 これらのWebサイトがSQLインジェクションを受けやすい場合、攻撃者は任意のSQLステートメントを簡単に実行できます。 これにより、データベースの整合性が損なわれ、機密データが公開される可能性があります。
使用されるバックエンドデータベースに基づいて、SQLインジェクションの脆弱性により、さまざまなレベルのインジェクション攻撃が発生する可能性があります。 攻撃者は、既存のクエリを操作したり、サブセレクトを使用したり、クエリを追加したりできます。 場合によっては、ファイルの読み取りまたは書き込みも可能です。 また、攻撃者はルートオペレーティングシステム（OS）でシェルコマンドを実行する可能性があります。
Microsoft SQL Serverなどの一部のSQL Serverには、ストアドプロシージャと拡張プロシージャが組み込まれています。 SQLインジェクション攻撃者がこれらのプロシージャへのアクセスを取得すると、非常に望ましくない結果を招く可能性があります。 不適切にコーディングされたWebサイトおよびWebアプリは、常にこの種の攻撃を受けやすくなります。
インジェクション攻撃を回避する理想的な方法は、公開する前にWebサイトとWebアプリの脆弱性を検出することです。 ペネトレーションテスターが潜在的なSQLインジェクション攻撃に対するWebサイトおよびWebアプリの脆弱性を検証するのに役立つ自動SQLインジェクションスキャナーがあります。
これにより、Web管理者は脆弱なコードを即座に修正し、潜在的なSQLインジェクション攻撃からWebサイトを保護できます。
