SQLインジェクション(SQLi)攻撃とは?仕組みから対策まで徹底解説

多くのWebアプリケーションは、バックエンド機能の提供のためにデータベースシステムを採用しています。データベースへの問い合わせ、操作、管理に広く使われている言語が、SQL(Structured Query Language:構造化問い合わせ言語)です。世界中のWebアプリケーションで広く利用されているため、SQLを利用したデータベースはサイバー犯罪者の格好の標的となりやすく、その被害の深刻度は標的となるシステムの構造によって大きく異なります。

SQLインジェクション攻撃とは

SQLインジェクション攻撃は、現在もっとも頻発しているWebハッキング手法の一つです。攻撃者はWebページの入力フォームなどを悪用し、SQL文の中に悪意のあるコードを挿入します。これは通常、ユーザー名やユーザーIDなどの入力を求めるWebページで発生します。攻撃者はこの機会を利用してSQL文を注入し、サイト管理者に気づかれることなくデータベース上で実行させてしまうのです。

SQLインジェクション攻撃の流れ

この攻撃による影響は、Webアプリケーションの性質や、攻撃者が送り込んだデータをどのように処理してSQL文を組み立てているかによって左右されます。セキュリティ上のリスクは、認証の回避(認証バイパス)から情報漏洩、他のアプリケーションユーザーへの悪意あるコードの拡散まで多岐にわたります。WordPress、PHP、Joomlaなど、さまざまなWebプラットフォームがSQLデータベースをサポートしているため、そのリスクは非常に多数のWebサイトに及んでいます。

SQLインジェクション攻撃が成功した場合の影響

SQLインジェクションは、深刻度の高い脆弱性とみなされています。被害の規模は、攻撃者のスキルと想像力、そしてデータベースサーバーへの低権限接続のような対策が講じられているかどうかによって決まります。

一度侵入されると、それまでデータベースに守られていた大量の機密情報が攻撃者の手に委ねられることになります。その結果、攻撃者はデータベースから機密データを盗み出したり、DBMSのシャットダウンといった管理操作を実行したり、DBMSファイルシステム上の特定ファイルの内容を取得したり、場合によってはOSそのものを掌握することさえ可能になります。

一般的に、SQLインジェクションが発生すると、以下のような攻撃が可能になります。

1. 必要な認証情報を入力することなくアプリケーションにログインし、管理者権限を奪取する
2. データベースの内容を改ざんしてデータ整合性を損ない、Webページを汚損したり、無害なWebサイトに悪意のあるコンテンツを挿入したりする
3. ログや監査情報を削除することで、データの可用性を脅かす
4. データベース経由でコマンドを実行し、ホストOSの運用を危険にさらす

SQLインジェクション攻撃からサイトを守る方法

SQLインジェクション攻撃は、世界的にWebアプリケーションに影響を与える最も一般的なアプリケーション層攻撃の一つですが、コード内のSQLインジェクション脆弱性を回避すること自体は決して難しくありません。

基本的な対策は、ユーザーから送信されたデータを検証することです。これはホワイトリスト方式またはブラックリスト方式で実現できます。さらに、ユーザーの入力がSQLコマンドの意味やロジックを変更できない形でSQL文を構築することも、SQL攻撃に対する有効な防御策となります。

1. 入力値検証(バリデーション)

入力値検証には、SQLインジェクションを防ぐための2つのアプローチがあります。ブラックリスト方式とホワイトリスト方式です。ブラックリスト方式は、既知の悪意ある文字をユーザー入力から除去または置換する手法ですが、広く使われているものの、ホワイトリスト方式ほど効果的ではありません。攻撃者はフィルターを回避して悪意あるSQL文を注入できる可能性があるためです。一方、ホワイトリスト方式は、ユーザー入力のすべての文字を精査し、許可リストに適合する文字のみで構成された入力だけを受け入れます。

2. 安全なSQL文の構築

厳密な入力値検証に加えて、ASP.NETではパラメータ化クエリ、Javaではプリペアドステートメントなど、開発言語に応じた同等の技術を使用することが不可欠です。このようにSQL文を強化することで、SQL文がデータベースシステムに渡される前に、危険な文字が適切にエスケープされ、不正な命令として解釈されることを防げます。

3. 定期的な監査

静的テストと動的テストの両方を活用し、アプリケーションに潜在的なSQLi脆弱性がないかを定期的にテストしましょう。継続的な監査により、新たな脆弱性の混入を早期に発見できます。

AstraによるSQLインジェクション対策

AstraのWebアプリケーションファイアウォール(WAF)はリアルタイムでスキャンを行い、SQLインジェクションをはじめとする一般的なWebアプリケーションの脆弱性からサイトを保護します。クラウドベースのセキュリティプラットフォームにより、アプリケーションセキュリティプログラムを効率的に管理し、進捗を容易に追跡できます。また、eラーニング教材を通じて、SQLインジェクションなどのセキュリティ欠陥の防止・修復方法について社員教育も実施可能です。