インジェクション攻撃（SQLi, OSコマンドなど）のメカニズムと対策

メールヘッダーインジェクション：その「改行」が世界を壊すやあ、現場の最前線でコードと格闘している諸君。今日は「メールヘッダーインジェクション」について話そう。「今どきそんな古い脆弱性？」と鼻で笑ったそこの君。それが一番危ない。この攻撃は、現...

玄関の鍵をかけたはずが、裏口から「手紙」を書き換えられる？ メールヘッダーインジェクションの正体こんにちは！セキュリティの世界へようこそ。いきなりですが、皆さんは「家の鍵」をかけたら、泥棒は絶対に入ってこないと思いますよね？ 玄関ドアをしっ...

XPathインジェクション：構造化データの「死角」を突く静かなる侵入者多くのエンジニアは、SQLインジェクション（SQLi）の恐怖には慣れ親しんでいる。しかし、XPathインジェクションという言葉を聞いたとき、どれだけの者がその背後にある「...

XPathインジェクション：XMLの「構造」を悪用する静かなる脅威「SQLインジェクションはもう警戒している。だからうちは大丈夫だ」現場で若手エンジニアからよく聞く言葉だ。だが、彼らが盲信しているその「データベースの守り」のすぐ横で、XML...

玄関の鍵穴を覗き見される？「XPathインジェクション」という意外な落とし穴を攻略しようこんにちは！セキュリティの世界へようこそ。日々、システムの裏側を守る仕事をしていると、よく「最新の攻撃手法って何ですか？」と聞かれます。でも、実は多くの...

LDAPインジェクション：プロトコル層の「意味論」を悪用する古くて新しい罠現代のアプリケーションアーキテクチャにおいて、LDAP（Lightweight Directory Access Protocol）は単なるディレクトリサービスを超え...

LDAPインジェクション：認証の「裏口」を塞ぐための最前線知識現場でインシデント対応をしていると、SQLインジェクションには敏感でも、ディレクトリサービス（LDAP）の脆弱性を過小評価しているエンジニアにしばしば出会う。だが、LDAPは組織...

家の鍵穴に「合い鍵」を突っ込まれないために。LDAPインジェクションの脅威と鉄壁の守り方こんにちは。日々、システムの守りを固めるエンジニアの皆さん、お疲れ様です。今日は、少しマニアックだけれど、知ってしまうと背筋が凍る「LDAPインジェクシ...

泥棒が「家中のクローゼット」を開けられないようにする方法：OSレベルの防犯対策こんにちは。セキュリティの世界へようこそ。今日は「Webアプリケーションのセキュリティ」という、少し堅苦しそうなテーマを扱いますが、実はこれ、「家の中の防犯」を考...

「ちょっとだけなら大丈夫」が命取り！OSコマンドインジェクションからアプリケーションを守る鉄則こんにちは！セキュリティの現場で日々「泥棒」たちの手口を研究しているエンジニアです。今日は、開発者なら一度は耳にしたことがあるかもしれない「OSコ...