インジェクション攻撃（SQLi, OSコマンドなど）のメカニズムと対策

テンプレートエンジンの「自動エスケープ」は銀の弾丸ではない：現場で刺される「盲点」と防衛術やあ。コードレビューで「とりあえず自動エスケープがあるから大丈夫」という甘い言葉を聞くと、私はいつも背筋が凍る思いがする。現代のWeb開発において、J...

CSRFは「死んだ」のか？：SameSite属性の深淵と、設計者が陥る「境界条件」の罠多くの開発者が「CSRF対策？ SameSite=Lax を付ければ終わりだろう」と高を括っている。だが、現場の最前線にいる我々からすれば、それは「玄関の...

CSRFは「死んだ」のか？：SameSite属性を武器に、脆弱性の根を絶つ現場でコードレビューをしていると、未だに「CSRF対策はトークンさえ埋め込めば完璧だ」と信じ込んでいるエンジニアに出くわす。もちろん、anti-CSRF tokenは...

虚像を突くDASTの限界と、インジェクション検知の「その先」にある戦場インジェクション攻撃は、もはやサイバーセキュリティの「古典」だ。しかし、現場で遭遇する脆弱性は驚くほど進歩している。かつては単純な ' OR 1=1 -- で済んだ話が、...

DASTは「魔法の杖」ではない：インジェクションを現場で確実に仕留めるための戦術論「DAST（動的アプリケーションセキュリティテスト）を回せば、脆弱性は全部見つかる」。そう信じているなら、今すぐ考えを改めてほしい。現場で数々のインシデントを...

ファイルアップロードの「聖域」を守る：Webサーバーの実行権限を物理的に封殺するアーキテクチャ多くのエンジニアが「ファイルの拡張子チェック」という脆弱な水門に依存して夜を明かす中、我々のような最前線の防衛者は、「Webサーバーが何を『実行可...

SSTIの深淵：テンプレートエンジンの「サンドボックス」はなぜ突破されるのかテンプレートエンジンは、現代のWebアプリケーションにおいて「ロジックとビューの分離」という美しい理想を体現する存在だ。しかし、その裏側でテンプレートエンジンが実行...

テンプレートエンジンは「魔法の箱」ではない：SSTIが生むRCEの深淵多くの開発者が、Jinja2やThymeleafを単なる「HTML生成ツール」と誤認している。だが、セキュリティアーキテクトの視点で見れば、これらは「サーバーサイドで動的...

Markdownパーサーの深淵：DOMPurifyが「銀の弾丸」ではない理由と、多層防御のアーキテクチャ多くの開発者がMarkdownをHTMLに変換する際、markedやmarkdown-itを導入し、その出力をそのままDOMに注入するよ...

Markdownの「その変換」、実は爆弾を抱えていないか？：DOMPurifyによる防御の極意現場でエンジニア諸君と話していると、よくこんな相談を受ける。「MarkdownをHTMLに変換して表示するだけの機能なんだから、そこまで神経質にな...