インジェクション攻撃（SQLi, OSコマンドなど）のメカニズムと対策

メールヘッダーインジェクション：その「改行」がシステムをゾンビ化させる現場でインシデント対応をしていると、「まさかメール送信機能が攻撃の踏み台にされるとは」と青ざめる開発者に何度も出会う。メールヘッダーインジェクションは、Webアプリケーシ...

「メールの宛先が勝手に増えてる？」メールヘッダーインジェクションの正体と防犯対策こんにちは。セキュリティの世界へようこそ。皆さんは普段、Webサイトのお問い合わせフォームなどで「自動返信メール」を受け取ったことはありますか？実は、その裏側に...

HTTPヘッダーインジェクション：プロトコル解釈の「隙間」を突く攻撃の解剖学現代のWebアーキテクチャにおいて、SQLインジェクションやXSSは「過去の遺物」として対策が自動化されつつある。しかし、HTTPヘッダーインジェクション（CRLF...

HTTPヘッダーインジェクション：その「改行」がシステムを陥落させる現場でインシデント対応をしていると、「まさか、そんなところで？」という箇所で足元をすくわれるケースによく遭遇します。その筆頭格がHTTPヘッダーインジェクションだ。多くのエ...

その「入力」、信頼しすぎていませんか？HTTPヘッダーインジェクションの正体と防犯術こんにちは！セキュリティの世界へようこそ。日々開発や運用に携わっていると、「入力値のチェックは大事だよ」という話を耳にタコができるほど聞かされると思います。...

テンプレートエンジンは「魔法のメモ帳」？それとも「鍵のかかっていない玄関」？こんにちは。セキュリティの世界へようこそ。今日は、少し専門的だけど、知っておかないと「家ごと盗まれてしまう」ほど恐ろしい「SSTI（サーバーサイドテンプレートインジ...

XPathインジェクション：レガシーの皮を被った「XMLの心臓」を射抜く死角多くのエンジニアが「SQLインジェクションは過去の遺物」と高を括る一方で、エンタープライズの深部やレガシーなB2B連携システムでは、今もなおXML処理が静かに息を潜...

XPathインジェクション：XMLの「裏口」を塞ぐための最前線知識「XML？ まだそんなレガシーな技術を使っているのか？」と鼻で笑うエンジニアもいるかもしれない。だが、金融、物流、そして企業のレガシーな基幹システムにおいて、XMLは今もなお...

「あなたの家の『合鍵』、勝手に作られていませんか？」XPathインジェクションの仕組みと対策こんにちは！セキュリティの世界へようこそ。今日は、少しマニアックだけど、知っておかないと足元をすくわれる「XPathインジェクション」についてお話し...

LDAPインジェクションの深淵：プロトコル構造に潜む「論理の穴」を塞ぐアーキテクチャLDAP（Lightweight Directory Access Protocol）は、現代のエンタープライズ認証基盤の心臓部だ。Active Direc...