SQL/クエリ/DBプログラム…Web系プログラム・データベース情報

PHPタイトルは出来れば関連する方に読んで欲しかったので、軽く釣り針にしました。すみません。:*) 最近はやりのヒウィッヒヒー（Twitter）でも、よく「○○ったー」みたいなサービスがばんばん登場してますね！おかげでますますツイッターが面白い感じになってて、いい流れですね！ でも･･･ちょっと気...

米セールスフォース・ドットコムは2010年1月4日（米国時間）、同社のCRMサービス「Salesforce CRM」やプラットフォームサービス「Force.com」を運用するデータセンターで障害が発生し、全サービスが1時間15分利用できなくなったことを明らかにした。障害は米国太平洋時間4日午後12...

イスラエルGreenSQLは12月2日、オープンソースのデータベース用ファイアウォールの最新版「GreenSQL 1.2」を公開した。「MySQL」に加えて「PostgreSQL」にネイティブ対応、PostgreSQLを保護できる唯一のデータベースファイアウォールという。GreenSQLはアプリケ...

ある日，プロジェクトでチームリーダーを務めている高野氏は不測の事態に遭遇し，一人ひそかに青くなっていた… このプロジェクトは，あるユーザー企業で大規模Webアプリケーションの開発に取り組んできた。開発言語は「Ruby」，フレームワークとして「Ruby on Rails」（RoR），データベースには...

MySQLのrootユーザーのパスワードが必要なスクリプトを書く場合、#!/bin/bashmysqladmin -uroot -ptiger pingのようにスクリプト自体にパスワードを書くのではなく、rootのHOMEディレクトリの.my.cnf(/root/.my.cnf)の中にパスワードを...

本研究所では、日本と海外のIT技術およびその利用方法を比較し、両者の間にある格差について考えている。今回のテーマはセキュリティ、なかでもSQLインジェクションに注目してみたい。セキュリティに絶対はないという意識が日本には低すぎると思うからだ。個人がPCを利用する際に考慮すべきセキュリティ対策に関し...

川口　洋 株式会社ラック JSOCチーフエバンジェリスト兼セキュリティアナリスト CISSP 2009/9/15 ■川口、全国を飛び回ってます。皆さんこんにちは、川口です。先日、私は島根に出張をしていました。せっかく島根という地に行くのですから各地の方と交流したいと思い、山陰ITPro勉強会（通称...

私が５年前（2004年）に「Webアプリセキュリティ対策入門」を執筆していた時には、既に壊れた文字エンコーディングなどの不正な文字エンコーディングを利用したJavaScriptインジェクションやSQLインジェクション攻撃は比較的広く知られていました。この問題は当時のスラッシュドットジャパンでも取り...

PHPはWebシステムの中で広く使われているポピュラーなスクリプト言語だ。だが、手軽に習得し、開発が行えるとあって成果物のレベルが様々であり、中にはセキュリティ上問題のあるコードが多数存在することがある。そうしたセキュリティ上の問題を解決する手法やフレームワークもあるが、ごく簡単なシステムでは使わ...

備忘録メモ。某所のMySQLデータベースをバックアップ兼ねて、まるっとテストサイトに持ってきたわけです。まるっと。 そしたらまぁ、当然というかなんというか、MySQLのrootパスワードが分からなくて、あんなことやこんなことをするのに困ってしまって、(´ε｀；)ｳｰﾝ…とかなってたので、rootパ...

第4回 “セキュアなWebアプリ”に立ちはだかる課題 三輪　信雄 S&Jコンサルティング株式会社 代表取締役 チーフコンサルタント 2009/3/3 SQLインジェクションによる情報漏えい事件がクローズアップされています。対策は簡単なこと……と言われ続けているのですが、なぜWebアプリケー...

前回に引き続き、Think IT上の連載「SQLインジェクション大全」の第4回：ケース別、攻撃の手口を読んで感じたことを書きたい。　まず、この記事は以下のような書き出しから始まっている。本記事は、システムを防御するにはまず敵を知らなければならない、という意図の下に、攻撃手法を紹介する。[Think...

なぜSQLインジェクションはなくならないのかSQLインジェクションの対策を紹介する前に、SQLインジェクションがなくならない訳について考えてみよう。そのほかの脆弱（ぜいじゃく）性とも共通するが、図1-1の理由が考えられる。 つまり「セキュリティーに対する認識の低さ」「セキュリティーに対する技術・...

独立行政法人情報処理推進機構（IPA）および有限責任中間法人JPCERTコーディネーションセンター（JPCERT/CC）は1月26日、2008年第4四半期（10月～12月）におけるソフトウェアなどの脆弱性関連情報の届出状況を明らかにした。 2008年第4四半期の特徴は大きく2つ。1つ目は、DNSキ...

2008年10月 2日 報道関係およびお客様各位 株式会社ラック 【緊急注意喚起】 新手のSQLインジェクションを行使するボットの確認 セキュリティソリューション分野でのリーディングカンパニー、株式会社ラック（本社：東京都港区、代表取締役社長:齋藤理、以下ラック）は、自社の研究機関であるサイバーリ...

IPA/ISEC、サイトのSQLインジェクション検出ツール「iLogScanner」をバージョンアップ独立行政法人情報処理推進機構 セキュリティセンター（IPA/ISEC）は11月11日、ウェブサイトのSQLインジェクション検出ツール「iLogScanner」をバージョンアップした。このツールはブ...

9月30日、筆者が所属している会社の「セキュリティ監視センター（ＪＳＯＣ）」に衝撃が走った。早朝からＪＳＯＣで監視している４種類のセンサーのうちマイナーな２種類の侵入検知システムで、最近よく見かける「ＳＱＬインジェクション」のアラートが上がっていた。誤検出はよくあることだが、念のためＪＳＯＣのアナ...

セキュリティアナリストコラム 川口洋のセキュリティ・プライベート・アイズ（8） クッキーに隠されたSQLインジェクション、 対策は？ 川口　洋 株式会社ラック JSOCチーフエバンジェリスト兼セキュリティアナリスト CISSP 2008/10/20 皆さん、こんにちは、川口です。先月、私は遅めの夏...

前回はSQLインジェクションが急に増えた事情を概説した。今回は，SQLインジェクション攻撃の流れをたどってみよう（図1）。ここではユーザーが指定した商品をデータベースから探せるショッピング・サイトを想定している。 図1●Webサイトに悪質なスクリプトを埋め込まれる例 改ざんされたサイトにアクセスし...

ラックは2008年9月17日、2008年上期（1月〜6月）のインターネット上のセキュリティ動向を解説する説明会を開催した。川口洋JSOCチーフエバンジェリスト兼セキュリティアナリストは「Webサイトを狙われるケースが多くなった。特にSQLインジェクション攻撃（用語解説）が急増し、件数は前年同期比で...

とは、Webサイト経由で不正なSQLコマンドをデータベースに対して実行するという攻撃手法だ。こうした攻撃を防ぐには、ユーザがWebフォームに入力し、HTTP POSTやCGIパラメータなどによって送られてくるすべてのデータについて、想定外の情報が含まれないことをチェックする必要がある。GreenS...

2008年3月，SQLインジェクションによる大規模なWebサイト改ざん攻撃が話題となった。IBMのセキュリティオペレーションセンター（以下，SOC）では，その後も同様の攻撃を検知し続けている。この間，攻撃の傾向に大きな変化が見られた。また，この攻撃によって改ざんしたWebサイトからユーザーを悪質な...

【解説】 SQLインジェクション攻撃の「最新傾向と対策」世界規模で多発する脅威に対して、ITマネジャーがとりうる防御策とは？（2008年08月08日）最近、データベースと連動したWebサイトを改竄し、不正に情報を搾取する、いわゆる「SQLインジェクション攻撃」が世界規模で多発している。SQLインジ...

うわさのngg.jsを調べていたらこんな表示のサイトを見かけました。 HTMLソースは以下の通り宮城県、福島県、山形県、岩手県、秋田県おそらく、SQLインジェクションによりSCRIPT要素を埋め込まれたものの、XSS対策がとられていたので、JavaScriptの実行はされない状態で表示されているの...

トレンドマイクロは7月17日，日本を含む世界中でSQLインジェクションによるWebサイト改ざんが発生していると警告した。SQLインジェクションにより，正当なWebサイトに不正なiframeタグを埋め込む攻撃で，改ざんされたサイトにアクセスしたユーザーは，不正なサイトに誘導され，ウイルスになどに感染...

re:キケンなSQLインジェクション【PR】初心者でも安心なレンタルサーバー。２６３円から使えます。 【PR】HP登録でSEO対策！アクセスアップにコチラ！ネタ元:キケンなSQLインジェクションSQLインジェクション対策へのアプローチとしては正しいのだけど、1点だけ気になる点が。。。もし、悪いやつ...

はじめに　私は最近、いつもの共有ディレクトリメカニズムを使ってファイル共有を実装することに嫌気がさしてきました。管理者レベルで定義するアクセス権が多すぎるだけでなく、異なるオペレーティングシステム間でファイルを共有するためのあらゆる処理が必要になります。その上、インターネット接続しか使用できないと...

『 「SQLインジェクションとクロスサイトスクリプティングの合わせ技みたい」うーん…。 』

最近SQLインジェクション攻撃が猛威を振るっていることもあり、SQLインジェクションに対する解説記事が増えてきたようだが、対策方法については十分に書かれていないように感じる。非常に稀なケースの対応が不十分だと言っているのではない。ごく基本的なことが十分書かれていないと思うのだ。 SQLインジェクシ...

2008年3月11日，不特定多数のWebサイトに対する大規模なSQLインジェクション攻撃が発生した。本攻撃はターゲットとなるWebサイトのソースコードを改ざんし，攻撃者が用意した不正なWebサイトへのリンクを挿入するものである。セキュリティオペレーションセンター（SOC）でも，2008年3月11日...