インジェクション攻撃（SQLi, OSコマンドなど）のメカニズムと対策

コンテキストの迷宮：テンプレートエンジンと「盲信」が招くインジェクションの深淵エンジニア諸君、今日もパッチ適用と脆弱性診断で疲弊していることだろう。だが、一つ断言しておく。君たちがどれだけ高価なWAFを導入し、最新のSASTツールをCI/C...

なぜ「HTMLエスケープ」だけでは防げないのか？――コンテキスト依存エスケープの極意現場でエンジニアから「ちゃんとエスケープ処理は入れています」という報告を受けるたび、私はこう聞き返す。「どのコンテキストで、どうエスケープした？」と。多くの...

家の鍵を「場所」で使い分けてる？テンプレートエンジンと「コンテキスト依存エスケープ」の話こんにちは！セキュリティの現場で日々、防御の最前線に立っているエンジニアです。今日は、Web開発の現場で避けては通れない「インジェクション攻撃」の核心、...

蛇の道は蛇：javascript:スキームが暴くモダンブラウザの「信頼の境界」セキュリティアーキテクトとして多くのコードベースを監査してきたが、いまだに「URLのバリデーション」という初歩的な実装において、致命的な設計ミスを犯しているプロダ...

【現場の教訓】javascript:スキームによるXSSは「URLフィルタリング」の甘さから生まれるこんにちは。現場で泥をすすりながらインシデント対応をしてきた経験から言わせてもらうと、セキュリティ対策において「ブラックリスト方式」はほとん...

玄関の鍵、どこまで信頼しますか？「javascript:」スキームという盲点こんにちは。日々の開発、本当にお疲れ様です。セキュリティの世界に足を踏み入れると、「SQLインジェクション」や「クロスサイトスクリプティング（XSS）」といった強そ...

CSP違反レポート：ただのログと侮るなかれ、それは「攻撃者の足跡」そのものだ多くの現場で、Content Security Policy (CSP) は「面倒な制約」として扱われている。開発の最終段階でとりあえず導入し、コンソールに吐き出さ...

CSP違反レポート：攻撃の「予兆」を捉えるための最前線運用術現場でインシデント対応をしていると痛感するのだが、多くのエンジニアが「CSP（Content Security Policy）は厳しく設定すればするほど画面が壊れる」という恐怖心か...

「知らない間に泥棒が家に入っていた…」を防ぐ！CSP違反レポートでサイトの異常をいち早く察知する方法こんにちは！セキュリティの現場で日々、防御の最前線に立っている者です。今日は、Webサイトを「泥棒（攻撃者）から守るための強力な警備システム...

「ブラウザのお節介」が命取り？X-Content-Type-Optionsで防ぐ、見えない泥棒の侵入経路こんにちは。セキュリティの世界へようこそ。日々、コードを書いたりサーバーを管理したりしていると、「セキュリティ対策」という言葉が少し重た...