水無月ばけらのえび日記

SQLインジェクション

某所で SQL インジェクションのセキュリティホールを発見。

セキュリティホールの存在をアピールするためにはデモ用の無害な exploit コードが必要になりますが、ここで困りました。私は SQL をほとんど知らないのです。ただの XSS なら試行錯誤して作れば良いのですが、SQL インジェクションの場合はターゲットのデータベースを書き換える事ができてしまう可能性があるので、迂闊なコードを試すとターゲットに致命的なダメージを与えてしまう可能性があります。

とりあえず SQL を扱った経験を持つむらまささんに聞いてみたところ、ターゲットは Microsoft SQL Server らしいので @@VERSION という値を喰わせると良いだろう、とのアドバイス。やってみると見事にバージョン番号を含むエラーメッセージが表示されました。

XSS だけの場合は、見つけてもいちいち報告しないで、単に「制限付きサイト」に登録するだけで終わりにしているのですが……。これはさすがに厳しいので報告しておきましょうか。

• 「SQLインジェクション」にコメントを書く

関連する話題: メモ / セキュリティ / もののけ / むらまささん / SQLインジェクション