複文が利用できるデータベースの調査(2): SQL Serverが狙われるにはまだまだ理由がある - 徳丸浩の日記(2008-06-27)

_SQL Serverが狙われるにはまだまだ理由がある 徳丸浩の日記 - 複文が利用できるデータベースの調査 - SQL Serverが狙われるには理由があるにおいて、SQLインジェクションで別のSQL文を注入するためには、複文のサポートが必要で、SQLインジェクションの文脈でこれが可能であるDBMSはMS SQL ServerとPostgreSQLであることを示した。 ここで、複文を記述するには、セミコロン「;」で複数のSQL文を区切ると説明していたが、マイクロソフトの公表している文書によると、SQL Serverにおいては、複文の区切りにセミコロンは必要ないことが分かったので報告する 注意 複数の SQL ステートメントを区切るのに、セミコロンは必ずしも必要ありません。必要かどうかは、ベンダまたはインプリメンテーションによって異なりますが、Microsoft SQL server では

[wasai]

いまさらながらメモ

[kaito834]

SQLインジェクション攻撃において、Microsoft SQL Server が狙られる理由を考察した記事。「SQL Serverにおいては、複文の区切りにセミコロンは必要ないことが分かったので報告する」

[cubed-l]

知らなかった…

[hasegawayosuke]

「データベースエンジンのマニュアルを死ぬほど読め」だっけ。→http://www.tokumaru.org/d/20080601.html

[oldriver]

知らなかったよ

[mitsuki_engawa]

「なんてこったい。」

[ockeghem]

MS SQL Serverの複文の区切りにセミコロンは不要でした