アプリケーションセキュリティ & 安全な開発

ORMの「魔法」が招く地獄：プリペアドステートメントの真実とネイティブクエリの暗部ORM（Object-Relational Mapping）を「データベース操作を簡単にするツール」と定義しているうちは、君のアプリケーションはいつまで経って...

ORMという「甘い罠」：なぜあなたのコードはSQLインジェクションを許すのか現場でコードレビューをしていると、未だに「ORMを使っているからSQLインジェクションは大丈夫ですよね？」という若手エンジニアの問いかけに出くわす。結論から言おう。...

「ORMを使っているからSQLインジェクションは大丈夫」は本当？現場のプロが教える安全な開発の極意こんにちは。現場で泥臭いインシデント対応をしていると、「ORM（HibernateやEntity Frameworkなど）を使っているからSQ...

LDAPインジェクションの深淵：プロトコル仕様の罠と「防御の境界」を再定義するLDAP（Lightweight Directory Access Protocol）は、認証基盤やディレクトリサービスとして、今なおエンタープライズの心臓部で鼓...

LDAPインジェクション：なぜ今も「盲点」になり続けるのか現場で長年インシデントを見てきたが、SQLインジェクションは撲滅の兆しが見えても、LDAPインジェクションは未だに「あ、そこ盲点だった」という顔で修正依頼が飛んでくる。LDAP（Li...

あなたのプログラムが「招かざる客」を招き入れていないか？LDAPインジェクションの罠と対策こんにちは。セキュリティの世界へようこそ。今日は、少し地味だけれど、もし穴があれば致命的な被害をもたらす「LDAPインジェクション」について、泥棒と家...

シェルを操る悪魔との対話：OSコマンドインジェクションの深層と「exec」への決別現場でインシデント対応をしていると、いまだに「なぜこれで突破されたのか？」と頭を抱えるエンジニアに遭遇する。OSコマンドインジェクション。この古くから存在する...

なぜ「OSコマンドインジェクション」は令和の今も消えないのか？ ― 現場の最前線から学ぶ防衛哲学「ユーザーからの入力をそのままシェルに渡す」。これを聞いてゾッとするなら、君はすでにエンジニアとしての生存本能を持っている。だが、現実はどうか。...

こんにちは。セキュリティの世界へようこそ。「OSコマンドインジェクション」という言葉、教科書で目にすると何やら難しそうに見えますよね。でも、実はこれ、私たちの身近な「鍵の掛け方」と全く同じ理屈なんです。今日は、なぜ攻撃者は「コマンド」を送り...

NoSQLインジェクションの深淵：MongoDBの演算子汚染が暴く「型」の脆弱性エンジニア諸君、セキュリティの現場において「SQLインジェクションは過去の遺物」という慢心は、即座に死を意味する。今日、我々が直面しているのは、リレーショナルデ...