securityintronational

LDAPインジェクション：なぜ今も「盲点」になり続けるのか現場で長年インシデントを見てきたが、SQLインジェクションは撲滅の兆しが見えても、LDAPインジェクションは未だに「あ、そこ盲点だった」という顔で修正依頼が飛んでくる。LDAP（Li...

あなたのプログラムが「招かざる客」を招き入れていないか？LDAPインジェクションの罠と対策こんにちは。セキュリティの世界へようこそ。今日は、少し地味だけれど、もし穴があれば致命的な被害をもたらす「LDAPインジェクション」について、泥棒と家...

シェルを操る悪魔との対話：OSコマンドインジェクションの深層と「exec」への決別現場でインシデント対応をしていると、いまだに「なぜこれで突破されたのか？」と頭を抱えるエンジニアに遭遇する。OSコマンドインジェクション。この古くから存在する...

なぜ「OSコマンドインジェクション」は令和の今も消えないのか？ ― 現場の最前線から学ぶ防衛哲学「ユーザーからの入力をそのままシェルに渡す」。これを聞いてゾッとするなら、君はすでにエンジニアとしての生存本能を持っている。だが、現実はどうか。...

こんにちは。セキュリティの世界へようこそ。「OSコマンドインジェクション」という言葉、教科書で目にすると何やら難しそうに見えますよね。でも、実はこれ、私たちの身近な「鍵の掛け方」と全く同じ理屈なんです。今日は、なぜ攻撃者は「コマンド」を送り...

NoSQLインジェクションの深淵：MongoDBの演算子汚染が暴く「型」の脆弱性エンジニア諸君、セキュリティの現場において「SQLインジェクションは過去の遺物」という慢心は、即座に死を意味する。今日、我々が直面しているのは、リレーショナルデ...

NoSQLインジェクション：MongoDBの「演算子」が引き起こす認証崩壊の罠現場でコードレビューをしていると、今でもたまに遭遇するのが「SQLインジェクションには気を使っているが、NoSQLはクリーンだと思っている」というエンジニアだ。結...

家の鍵は「数字」だけだと思っていない？NoSQLインジェクションの恐ろしい罠こんにちは！セキュリティの現場で日々、泥臭い攻防を繰り広げているエンジニアです。今日は、最近のWeb開発で非常によく使われる「MongoDB」などのNoSQLデータ...

WAFの「死角」を突き破る：SQLインジェクションと正規化の深淵多くのエンジニアが「WAFを導入しているから大丈夫だ」と安堵する瞬間、攻撃者はその背後にある「解釈のギャップ」を冷笑している。SQLインジェクション（SQLi）の戦場において、...

「WAFをすり抜けるSQLi」の現実と、現場で生き残るための正規化戦略現場で戦うエンジニア諸君、お疲れ様。「WAFを入れているからうちは大丈夫だ」という言葉を、私はインシデント対応の現場で聞き飽きた。WAFは強力な盾だが、それはあくまで「既...