楽しいクラッキング SQLインジェクション

1/5
　　　　　　　　　　　　　　　　　､
　　　　　　　　　　　 　 　 　 　 l.ｌ'､
　　　　　　　　 　 　 　 　 　 ___.| .!.ｌ,
　　　　　　　　　　　　　 _..i''./ ''|　l 'l､
　　　　　　　　　　　 ,ｒ'"　.'"'''' l､ .ゝ|.ｌ
　　　　　　　　　　 / 　　　　 ./　ヽ-,.ｌ.ｌ
　　　　 　 　 　 　 !　　　　 _iゝ /.! |.l;;..ｌ.ｌ　　　　　　　　SQLインジェクションについて簡単な解説だ
　　　　　　　　　　!　　　 .,i/ヽ././//ll.!i.ｌ|　　　 　 　 　 今回挙げる例みたいな単純なのが現代において成功するはずはないですが
　　　　　　　　　　!.i､　 ./|　.__ヽlﾞ　| ﾞl,ﾞ,,,!　　　　　　　  もし成功したら草を生やした後で捨てアカからのメールで警告してあげましょう
　　　　　　　　　　|.!.ヽ .l'"'"　 　ｌ o〃　 |
　　　　　　　　,, -'|,.ｌ　! .ｌ　　　　.l ||!　 ./
　　　　　　　 .l, lﾞ　ゝ'"　./　.......'ﾉ_| !-;;/......,,　　　　　　こいつは2005年頃から認知され始めたらしく、いまだに被害が出ているそうな
　　　　　　　 |.ヽ'､.ｌ .ヽ_ .|　 'i;;r‐ l ｌ.,i'!ﾐ'i､　 .ヽヽ,
　 　 　 　 　 l,　 ''''ﾐﾆ､.''│　|;;.ｌii|i〃､ .ｌ !.''!/､.lヽヽ
　　　　　 .／ ヽ.　　　.'"'''i_,ﾞ''--!〃　' .,!/　 .ヽ　!　!　　2005年3月のクラブツーリズムへの攻撃あたりから有名になったのかな？
　　　 _..-!-''--.. ＼ ,　　　l..'"'"　　　.,/|.! /'ﾞ.ｌ'./ ./
　 i-'' 　 　 　 　 ＼　.'"''- |....,,,,___ ／ 〃/ ./ 　|,ﾞ|
　 '　　　　　　　　　''　　''''''''''''''''''''｀-｀-.'　 '　　 '


　　　　　　　　　　　l 、
　　　　　　　　　　 .ｌ　l
　　　　　　　　　　,! .Y.!
　　　　　　　　／/ ! .ｌ〈 !ヽ,
　　　　　　　 /:./ヽ/ !ヽ/ヽ!　　　　　　　　　　　　　　　　　SQLとはStructured Query Languageの略で
　　　　　　　 !::ｒ⌒ヾ()ｒ⌒:!:!　　　　　　　　　 　 　 　 　 　 データベースを操作するための言語のことだ
　　　　　　　〈:ヽ、_ノ=ヽ._ﾉ:〉　　　 　 　 　 　 　 　 　 　 　 このSQLはユーザーの入力フォームから入力した場合でも機能してしまう
　　　　　　　　ヽ!/ ! Ｍ ! !/　　　　　　　　 　 　 　 　 　 　 SQLインジェクションはこれを利用したデータベースへの攻撃だ
　　　　　　　　 .`、ヽ==/Ｉ-￣ヽ　　　 　 　 　 　 　 　 　 　 これ、正面玄関から堂々と攻撃しているようなものなのでセキュリティソフトに引っ掛かりにくい
　　　　　　　 !'"トﾆ‐-ｲ/／'￣￣￣￣ ヽ、　　　　　　　　  裏口の鍵を壊すなんてことはしていないからな
　　　-‐=￣"＼==／-￣ヽ.　!　 └ーﾆ=ー〉
　-"`" /〟　　 !!　　　　〝　!/￣￣ニ‐-./　　　　　　　　 攻撃の例を示そう
　ヽﾆﾆｿ　　　　.!!　　　　　　 !ェｴｴエ工ｴ　　　 　 　 　 　 今回はパスワードなしでログインしてみる
　　ｴｴI］　　　／＼　　　　〟〉ヽニﾆニ、
ｒ"/￣ミ!ｊ　　/　　　ヽ　　　／ヽ,＼ﾆﾆニヽ
!( !_＿ﾐ!ヽﾆ〈　　　　 〉 /／/./ !　!ヽ　～ヽ
ヽﾆﾆ／　＼ 'ｸ　 ┌、//＿/＿/.!　 ヽ　～ヽ
　　　　　　　"Eﾆﾆﾆﾆ"二ﾆ==-/
　　　　　　　　!＿ 、ﾆー　／,　!
　　　　　　　ｒ'ｒ'∧}］ﾆ-,ー!ﾆ!!￣ !
　　　　　　　!└Y-┘! !--‐‐‐!!　 !

.

2/5

　　　　　　　　　　　　　　入力されたパスワード　A
　　　　　　　　　　　　　　入力されたユーザー名に対応した記録されているパスワード　B　（今回はpassword）

　　　　　　　　　　　　　　次の等式が成り立った場合、ログイン成功
　　　　　　　　　　　　　　　　　　　　　A＝B


　　　　　　　　　　　　　　／/
　　　　　　　　　 　 　 ／　/　　 　 ./|
　　　　　　 　 　 　 ／ 　 〈⌒V／/　|
　　　　　　　　　　 | |〉　／ ／　/　　|
　　　　　　　　　　 | |／ ／　　/ 　　∧　　　　　　　　　　非常に雑だが、認証を行うための命令文だ
　　　　　　　　　　 |‐r‐┴､ 　/ 　　/　|　　　　　　　　　　なんとなくわかってもらえると思う
　　　　　　　　　　 |‐|､＿_ }　} 　イ 　ﾉ　＿
　　　　　　　　　　 ＼_,､,､〈 ニニニニﾆV └┘　.|　　　　さて、いたずらの時間……の前にコメントについて解説する
　　　　　ﾄ､　 　 　 　 ＼ ノ / ￣￣￣ /　／| |＼|　　　　プログラムの中にメモ書きができる機能、と認識してくれれば良い
　　　 r|ミ}ハ　　　　/ニ Ｖ/ /￣￣ ／／ニ 　ニ| |　　　 SQLの場合は、この行を以下コメントにする命令は　 -- 　だ
. 　 　 ﾊ ＿＿|ﾊ 　/ /￣￣/￣ ／＿|　|　 　 　 | |
　　　 | | 　　　ハ /|/　　　/ 　/| | | | |　|＿_　　_| |
　　　 | |―――Ｖ. | 　　　|　　|_|／￣ゝ＿＿] [_ﾉﾉ　　　　　　　ではいよいよいたずらの時間だ
　　　　　　　　　/　| 　　　|　　|　/￣￣＼ 　　　/　　　　　　　 パスワード欄に　1＝1 -- と入力してみよう
　　　　ヽ＿＿.〈　　＼ 　　　/ V　　　/ / ＼_.イ
　　　　　ゝ＿＿ Ｖ 　/＼　/ 　〈＿＿| / 　 　 .|




　　　　　　　　　　　　 　 ／{
　　　　　　　　　　　　　/ / |
　　　　　　　　　 　 　 / /　]L
　　　　 　 　 　 　 　 / /| 　|∧
　　　　　　　　 ／| ,/ /} !　⌒∧　　　　　／|
.　 　 　 　 　 /::::::|/ / .| {/ _　 ∧　　　／／!　　　　　　　　　　　　　 次の等式が成り立った場合、ログイン成功
　　　　 　 　 |::::: / /:/ | ∨∧　∧__／ ./:::: |　　　　  　　　　　　　　　　　1＝1 --＝password
　　　　 　 　 |::::/ /{/　|　∨∧. 　∨　./: : /|
　　 　 　 　 ∧:{　∨　 |:.　∨/　／　 /:::::: | |　　　　　　　　　　　　　　こうなる
.　　　　　　/マ＼　｀弓!弓￣,／　 ／ ::::::: | |　　　　　　　　　　　　　　そして　-- 以下はただのメモ書きだからコンピューターからはこう見える
.　　　　 　 |::::: ＼＼厂￣{_ ＞─- ､::::::::: / .!
.　　　　 　 |::::::, ィ⌒ヽ［o],///////∧:::::/　.|　　　　　　　　　　　　　　次の等式が成り立った場合、ログイン成功
.　　　　 　 |l:::j|/////}二_{////////i}::::{＼_|　　　　　　　　　　　　　　　　　　1＝1
.　　　　 　 ||::::{/////|二_∨///////:::::|　 /
.　　　　 　 ∨.乂//_ノ｀Y⌒＼＿_.イ::::::/ ./　 　 　 　 　 　 ／　　　　　結果は言わずもがな
.. 　 　 　 　 ∨ } 　 /厂{￣}＿＼　{:::::::{　{　　　 　 　 　 ／
　　　　 　 　 ∨　 ∧∨￣＼/∧ ､に二ソ　 　 　 　 .／
　　　　　　　　L＿{L∨￣＼/厂 ＼＿__ﾑ　 　 　 .／ 　 ＿＿
　　　　　　　＿＿_＼∨￣}//　厂￣￣￣＞　､／ 　.／二二
.＿　　　　 //二二寸＼＿,/　/二二二二二ア 　 ／二二二
　　＼　　//二二ﾆ=≦￣ ＼ム二二ﾆ／￣´　.／二二二二
　　　 ＼/ {_＞ ´￣　　　　(九}=──{ (_)　 .／二二≧=─
.　 /´￣|厂　　　　　　　　　//　.::::::::::|　__／二ﾆ イ´
　/ 　 ./||　　　　　　 　 　 // 　 　 　 ∨ |二ﾆ／
./　 ／/||　　　　　 　 　　.| |　 　 　 　 |　|ﾆ／

.

3/5


　　　　　　　　　　　　ログインヨシ！
　　　　　　　　　　　　　　　 ∧　　/ヽ
　　　　　　　　　　　　　　　/／￣￣＼|
　　　　　　　　　　　　　　 ∠＿╋＿＿〉
　　　　　　　　　　　　　　/　①八①　ヽ ＿
　　　　　　　　　　　　　 工ﾆf(_人_)ｴ二|′)ヽ
　　　　　　　　　　　　　　＼ヽヽノノ ノ ヘ |
　　　　　　　　　　　　⊂⌒)_＞―――′イ (＿)
　　　　　　　　　　　　　`ー､_ノ/￣ヽ　｜
　　　　　　　　　　　　　　 ＿|｜　 |　｜
　　　　　　　　　　　　　　(　 人＿ノ　Λ
　　　　　　　　　　　　　　 ＼ス￣￣ﾚ-Λ ＼
　　　　　　　　　　　　　　(￣　)　/ /　＼ﾉ＼
　　　　　　　　　　　　　　 ￣￣　(　ヽ　 ＼_)
　　　　　　　　　　　　　　　　　　＼ノ
　　Π　l7l7　　＿Π＿　　/　／/
　　.| .＼　　　 |_,―‐,. |　〔／　/
　　.|_|＼|　　　　　 ,ﾉ ﾉ　　　 /
　　　　　　　　　_　.￣　l7l7 /　 ,ｨ .::::::::::::::::::::/ﾐ /　/ |__| 〈 ヽ | |
　　l二￣|　　　ヽゝ　/'7　 7_／/:::::::::;;;;;;;;;;;;/ ヽ/__/ﾉ　.|　 ヽ 7 ﾚ
　 .┌┘ |　　　　　∠ノ　　　　/:::::::;;;;;;;;;;／lニ＼　/ 　 |　　//　l　　　　　　　プログラム上はどこからどう見てもヨシ！
　　 ￣￣　　　　 　　＿ l7l7 /::::::;;;;;;;;;;l二].__ ＼＼　　|　 //.__ |　 　 　 　 　 だから仕方がない
　　 Π　l7l7　　 /,二, /　　 /::;;lヽ､;;;;;l／ 　 ￣ ＼ヽ ヘ/／;;;ヽ
　　 | .＼　　 　./, 二 /　　 ｛;;;;|　ﾉ;;;/　,,.:::::::::::,,....ヽ,◎./;;;;;;;;;;;l　　 　 　 　 　 管理者権限でログインしてしまえばなんだってできる
　　 |_|＼|　　　.~　/_/　　　 ￣フ.|;;;ヽ:::::::::::::::::::::::::ﾉ''ｰ'|;;;;;;;;:;;;l　　　　　　　　 顧客情報抜き放題
　　　　　　　　　　　　　　　　 ／＞;;;;;＼:::::::::::::::／"ｰ"ヽ､;;;;;ﾉ　　　　　　　　  書き換え放題
　　　Π　　　 　Π　l7l7　　 >;;;;;;;;;;;;;;;;ﾉ￣ﾉフ"｀ ＼／ ヽ l7　　 　 　 　 　 　 バックドア仕掛け放題
　　　ｌ |　　　　　| .＼　　　　＼;;;;;;;;;;/ ／／ﾄ l＼|ヽ／i |/ﾉ　　　　 　 　 　 　 マルウェア仕掛け放題
　　　|_ｌ　　　　　|_|＼|　　　ﾄー-┬＼ ＼　 | ＼／ヽ_///　　　　　　　　　 　 偽サイトへの誘導も楽々だ
　　　　　　　　　　　　　　　|￣''=/ﾆヽ＼ ＼l____ ノヽ､//
　　l二l　,-,　　l二l　,-,　　 i　　　 .ﾞ'-」|,, "─,,＿＿_／
　　　 ∠ノ　　　　∠ノ　　 {
.　ｎ.　ｎ.　ｎ　　　　　　　　l
　 |!　 |! 　|!　　　　　　　　l
　 o　 o 　o　　　　　 ,へ　l

.

4/5

　　　　　　　　　　　 ,r '/
　　　　　　　　　　　/ /,'
　　　　 　 　 　 　 /　ｌ :l 　　　 , r"ｌ
　　　　　　　　　 /　 .|　ﾍ｀ヽ／／ハ
　　　　　　　　　 |　　', 　 〉' ／　/ 　|
　　　　　　　　　 |　　 〉'´.／　 ./　　.ﾄ
　　　　　　　　　ｌ| 　　|＿| 　　/ 　　.| |　　　　　　　　　　　　　|ヽ、
　　　　　　　　　.ト、r': : : ´ヽ ',　 　/　| 　　　　　　　　　　　　/　 〉、
　　　　　　　　　ｌ: :', ',: : : : : : | ',　./ 　 ｌ　　　　　　　　　　　 / 　 ｌ　ﾍ
　　　　　　　　　ﾍ,_ｌ　ゝ、＿丿 '‐'`-‐'´|｀ヽ、＿, -─┬一 /　　 |.　 ﾍ
　　　　　　　　　　 ヽ' ﾐヾ/ヽ---─''"´＼ /|_/　ﾍ　　ﾍ_, r'"　, r' ＼ 　|　　　　　　で、対策なんだが
　　　　　　　　　　　　ヽヾ／ 　／ 　　　　 |　　　 ∧　　, r'"　＼ ,／ヽ,|　　　　　　この場合　- の文字を使用禁止
　　　　　　　　　　　　　Γﾞ一'　　　　　　r' ￣￣￣ﾍ　 ＼＼,　' ＿　/　　　　 　 　ついでに入力不可能にしてしまうのが手っ取り早い
　 ｌヽ　　　　　　　/"´ｌ__|｀ｉ　'- 、＿_, r'"　　　　　　 ﾍ　　￣ , r",、　 　 　 　 　 　 これ以外の攻撃に使われるような記号も同じくだ
　 |　＼ 　 　,r' " |　　',＿/ 　　　　　ﾍ 　　　　　　　　ﾍ＿／ 　/ ヽ
　 ト 、 ＼'＿＿ノ　　　', 　　　　　　　/｀ヽ、 　　　　　　ﾍ 　　/ 　∧　　　　　　　一部の記号がパスワードやユーザー名に使えない
　 |　　｀ｌ────┐　', 　　　　　　/,　lﾍ ヾヘ、　　　／ﾍ, ノ　　 .∧　　　 　 　 そんな経験があると思う
　 ＼ 　.|　|　|　|　|　| 　 ', 　 　 　 ./ | ﾍ|　∨| 　ヘ, r'"　　| 　　　　 ∧　　　　　 それ、SQLインジェクション対策だったりする
　　　＼ T￣二二二, r '"∨　　　/　ゝ, 　　　'ｌ 　 / 　　　/ヽ＿＿＿/　 , 、　　 （あとは見間違えによる　ふっかつのじゅもんがちがいます　対策）
　　　　 ＼/´ 　　|｀ ヽ、　入_ 　./　　 ﾍ　　　/　/　 　　/　/、　　,二ｌ "´,、〉
　　　　　　　　　　', 　　 ｀ﾍ　ｌ｀'　｀ﾞ ｰ 、 ｀二, ／ '─- 〈 /　　｀ /　　ｌ'二 /
　　　　　　　　　　 ',　　　　',. ＼　　　／ 　　　　　　　　 /　　　/　　　｀/ /　　　　電話番号入力欄は半角数字以外入力不可
　　　　　　　　　　　', 　 r'" /￣｀ﾞヾ、┌────┐ _/'ｰ 、./　　　 ./ /　　　　　なども同様の理由だな
　　　　　　　　　　　 ＼ 　 /＿ 　r'"ヽ.| 　 ／＼ 　 .l　〈_　　/ 　　　 / /
　　　　　　　　　　　 r-一'"＿_ ｀ﾞ/ヽ、＼ ﾍ 　/　　.|‐/　｀/ 　　　 / /
　　　　　　　　　　　|　ｌ" ´　　/　 |　/ ヽ ｀/´｀/‐-＜ ,-‐〈　｀` 、/ /


　　　　　　　　　　　ﾟ　 ｡ {　 　 { ﾟ　｡ヾ 　 ‘，、　 ｀ヽ　ﾟ ,ﾉ　゜
　　　　　　　ﾟ｡　　　　　　',　 　 ',　　　}.　　 }! Ｙ　 　 ',Ｙ　 　｡ﾟ 　 ’
.　　 　 　 　 　 ＼　　　　ﾍ　　　ﾍ　゜,'　　　ﾘ　}!　　　}!.　　　　　 ,, ／
　　　　　　　　　＼＼ 　。　ヾ　　 ', /　　 ,ｲ　./　 　 从 　 　 ,イ／
　　　　　　　　　　 ＼ ＼　　　',､　 }　　 ,'.　, '/. 　 ,ｲ ﾊ.　 ／／　　　　　　　　 入力できるサイトは対策をしていない……とも限らない
　　　　　　　　　。　　＼ ｀.-、 }ｌ｀V　　 i{／ 〃 ／　,ｲ ／／　 ﾟ｡　　　　　　　　例えば　- を　minus　に入力した時に置き換える仕組みを入れてもいいし
　　　　　　　　　　　　　 ＼　｀'　ノ　 　八.　　　　､丶` ／　　　　　　　　　　 　 入力された文字列が命令文としては
　　　， 　 　 　 　 　 　 ｯ　＼　　 　 　 　 　 　 　 　／　 ｡　 　 　 　 　 　 　 　 認識されなくなるように設定することもできる（プレースホルダ）
　　　　 　 　 　 　 　 ＿___Z　　　　　　　 　 　 　 　 ￣'''―--z＿＿
.　 ──＝＝二二二＿＿.　　　　 　 r‐┐　　　 　 　 r────────　　ほかには
　　　　　　　　　　　　_.;;彡-ッ 　 　 ,ｲ::::ﾐ 　 　 　 ,,,,、 ＼　　　　　 　 　 　 　 　 入力フォームを用途以外の目的で使えないように設定
　　　 　 　 　 　 　 '"´　 ／ ,.. /　 ／⌒}　　　　　＼¨''ｰﾆ;;､、　　　　　　　　　　ユーザー名を入力する場所ではユーザー名一覧以外へのアクセスは必要ない
　　　　　　　　　　　　,.;;ﾝ‐″./　 /／⌒}　　　!l>､.　 ＼ 　　 ´
　　　　　　　　　　,..广　　　./.,v. /　／V=ﾐ　　 l　｀'-､. ｀'-,.,
.　　　　　　　 　 "　　　　 .,ｊ./　 /／:::::|{::ｸ⌒ヽ..l　　.　 ｀'-､＼
　　　　　　　　　　　　　　〃　 i..|::::::::::/ 　∨⌒∨ 　 　 　 ｀'''ヾ､
　　　　 　 　 　 　 　 　 ,i'ﾟ　 　 /::::::::::',　 _,,＞ミ::∨　　　　　　　ﾟ' ，　　　　　　　侵入された後の操作を監視する
　　　　　 　 　 　 　 　 l′.　　 |:::::::::::::|,ｨア　/ ﾍ:::∨　　　　　　　　　 　 　 　 　 顧客情報を全部ダウンロード、なんて動作は普段はやらないからな
　　　　　　　　　　　　 　 　 　 ﾊ:::::::::::::|/_ﾊ./　__}::::|
　　　　　　　　　 　 　 　 　 　 | |::::::::::: |廴〉,―v'}::::|
　　　　　　　　　　　　　 　 　 ヘ〉:::::::::/┐_/ｧ彳:::::,'　　　　　　　　　　　　　　 　 最後、システムメッセージの工夫だ
　　　　　　　　　　　 　 　 　 　 |乂::ノ ＼:::::／ヽ:::/　　　　　　　　　　 　 　 　 　 例えばユーザー名が正解、パスワードが違う状況なら
　　　　　　　　　　　 　 　 　 　 |/　| 　　 〕〔　 　 |　　　　　　　　　　　　　　　 　 　パスワードが違います
　　　　　　　　　　　　　　　　　ﾍ ／＼／　 ＼_,ｲ　　　　　　 　 　 　 　 　 　 　 　 パスワードとユーザー名を確認してください
　　　　　　　　　　 　 　 　 　 　 ﾍ　　/ 　　　　', |　　　　　　 　 　 　 　 　 　 　 この二つなら下がいい
　　　　　 　 　 　 　 　 　 　 　 　 ﾍ＿ヽ＿＿_.//　　　　　　　　　 　 　 　 　 　 上だとユーザー名が正解であることを知られてしまう
　　　　　　 　 　 　 　 　 　 　 　 　 ',::::::::::::::::::::::::|　　　　　　　　　　　　 　 　 　 攻撃者に余計な情報を与えてはいけない
　　　　　　　　　　　　 　 　 　 　 ＿|::::::::::::::::::::::::|__
　　　　　　　　　　　　　　　 　 　 |　[[[[[[|　△　]] |
　　　　　　　　　　　　　　　　　　 ￣:::::::::::::::::::::::::::ﾍ
　　　　　　　　　　　　 　 　 　 　 /::::::::::::::::::::::::::::::::::',
　　　　　　　 　 　 　 　 　 　 　 /::::::::::::::::ヽ::::::::/::::::::ヽ

.

5/5

.　　　　　　　 　 ∧
.　　 　 　 　 　 /|ハ￣ ｀ヽ
　　　　　　 　 / .! .∧::::::::∧
　　　　　 ＿__|　| 　∧::::::::∧_　　 　 　 　 　こんなところかな
.　　 　 /　厂 |＼　/⌒ヽ::::://＼＿　　　　 自分は自分で組んだ奴に試したことがあるぐらいです（楽しかった）
　､　_ ─ r─ -､.}={///ﾉ／ム二二二≧_　 torさん、プロキシさん、VPNさん、匿名の力お借りします、なんてやってません
　 ＼　　 |　　／ ＼Z彡「￣/::::::::::::::::::::} .}　 ネカフェの端末にバックドア仕掛けたこともありません
.＼　 ＼ .| ／＿ ／＼￣}￣ }:::::::::::::::::/./　  個人情報の販路持ってないし
＿_ﾌ､ ／⌒ヽ ＿＿__,}　.| 　.|:::::::::::::::::{/
＿_ ィ{二ﾆ=　Y￣＼　|__,|＿,|＿＿_／
.　 / .||＿__/￣￣＼.＼＼￣　　　　　　　　　　　　　あ、犯罪だから絶対にやるなよ
　/ 　 .| 　 |＼＿＿_〉/〈　＼　　　　　　　　　　　　　推奨しているわけでもないぞ
.〈＿＿|＿_|＿＞一 ´_＿＿
　　　 　 　 　 　 人LL［〈 〉 |}
　　 　　　　　／　　＼─一 '
　　　 　　 ／ 　 　 　 У　／


おしまい

以上です
私は断じて他人のシステムを攻撃したことはございません

>>8589
初期に対応した方が居たとは……