sqlmapでSQLインジェクションの検証 - Qiita
はじめに ここではpython製のツールである、sqlmapを使って SQLインジェクションの検証をします。 検証目的ですので、自分でたてたテストサーバにSQLインジェクションを しかけます。 対応しているDB MySQL Oracle PostgreSQL Microsoft SQL Server Microsoft Access IBM DB2 SQLite Firebird Sybase SAP MaxDB 検知できるSQLインジェクションの種類 boolean-based blind time-based blind error-based UNION query stacked queries out-of-band 検証環境 攻撃用サーバ(sqlmap実行側): OS: CentOS6.4 x86_64 Python: python2.2.6 攻撃対象サーバ: OS: Cent
SQLインジェクションを考慮しつつ、selectするカラムを動的に変更する - Qiita
はじめに この記事では「引数の値によって、selectするカラムを動的に変える実装例」を紹介します。 最初にSQLインジェクションを考慮しないダメな実装例を、次にSQLインジェクションを考慮した実装例を紹介します。 また、Brakeman gemを使った自動検知や、セキュリティ問題に関する情報源についても軽く紹介します。 やりたいこと 渡された引数に応じて、selectするカラムを動的に変更したい。 セキュリティ的にダメな実装例 次のように、単純に引数を文字列として埋め込むだけだとNGです。 SQLインジェクションの危険があります。 class User < ApplicationRecord # ダメな実装例 scope :dangerous_limited_columns, -> (text) { # 引数をそのまま埋め込んだらダメ！！ select("id, #{text}") }
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
