アプリケーションセキュリティ & 安全な開発

PATHハイジャックと環境変数汚染：OSコマンド実行の「見えない罠」を暴くアプリケーション層のセキュリティを語る際、多くのエンジニアはSQLインジェクションやクロスサイトスクリプティング（XSS）に目を奪われがちだ。しかし、真のアーキテクト...

「フルパスを書けば安全」は半分正解。環境変数汚染が招くシステム乗っ取りのリアル現場でコードレビューをしていると、必ず一度は議論になるのが「OSコマンド実行時のセキュリティ」だ。多くのエンジニアが「exec() や system() に渡す引...

こんにちは。セキュリティの世界へようこそ。現場でバリバリコードを書いているエンジニアから「コマンド実行なんて、引数を適切にエスケープすれば大丈夫でしょ？」なんて言葉を聞くことがありますが、私はいつも心の中で「甘いな」と苦笑いしてしまいます。...

NoSQLインジェクションの深淵：型混乱が招く「クエリ・ハイジャック」の解剖学多くの開発者がSQLインジェクションを「過去の遺物」と誤認し、MongoDBやRedisといったNoSQLの海へ飛び込む。しかし、彼らは重大な事実を見落としている...

NoSQLインジェクションの盲点：「文字列を期待した場所にオブジェクトを投げ込む」悪夢現場でインシデント対応をしていると、「SQLじゃないから大丈夫」という慢心が一番の脆弱性だと痛感する。NoSQL、特にMongoDBのようなJSONベース...

NoSQLの「ドアノブ」を回す侵入者――型変換攻撃からシステムを守るには？こんにちは。セキュリティの現場で日々、泥臭いインシデントと向き合っているエンジニアです。今日は、Webアプリケーションの「入り口」で起きている、ちょっと厄介な手口につ...

境界線の消失：NoSQLインジェクションが暴く「型安全」の幻想多くのエンジニアがSQLインジェクション（SQLi）を過去の遺物だと高を括っている間に、我々が守るべきデータ層は「JSON」という名の柔軟な言語に侵食されている。MongoDBを...

NoSQLインジェクション：JSONの裏側で「論理」が崩壊する瞬間昨今の開発現場では、RDBの厳格なスキーマから解放され、柔軟なMongoDBなどを採用するケースが増えた。だが、自由度が高いということは、それだけ「守るべき境界線」を設計者自...

「NoSQLは安全」という神話を捨てよう。MongoDBを狙う「インジェクション」の正体こんにちは。セキュリティの現場で日々、複雑な攻撃と向き合っているエンジニアです。今日は、最近のモダンな開発現場で当たり前のように使われている「NoSQL...

SSTIは単なる「入力チェック漏れ」ではない：テンプレートエンジンの深淵とサンドボックスの防壁多くの開発者がSSTI（Server-Side Template Injection）を「XSSのサーバーサイド版」程度に過小評価している。だが、...