Webセキュリティ専門の学習

アプリからOSコマンドを呼び出す？ それ、泥棒に合鍵を渡しているようなものですよ！～OSコマンドインジェクションの恐ろしさと、その意外な守り方～皆さん、こんにちは！セキュリティの世界へようこそ。新人IT担当者さんや、これからセキュリティを学...

SQLインジェクションという「古典」を解剖する――プリペアドステートメントの真の深淵巷には「SQLインジェクション対策にはプリペアドステートメントを使え」という決まり文句が溢れている。だが、なぜそれが絶対的な「盾」となり得るのか、メモリ上の...

SQLインジェクションを「過去の遺物」にする：プリペアドステートメントの本質的理解現場でコードレビューをしていると、未だに「入力値をエスケープすれば大丈夫だろ？」という甘い考えで書かれたクエリに出くわすことがある。はっきり言おう。エスケープ...

「SQLインジェクション」という名の泥棒から、大切なデータベースを守る方法こんにちは！セキュリティの世界へようこそ。今日は、Webアプリ開発の現場で避けては通れない「SQLインジェクション」という攻撃についてお話しします。名前だけ聞くと難し...

境界線の崩壊：SQLインジェクションが炙り出す「構文解析」という名の深淵多くのエンジニアにとって、SQLインジェクション（SQLi）は「今さら語るまでもない古典」だろう。しかし、現場の最前線にいる我々から見れば、依然として最も残酷で、かつ最...

SQLインジェクションという「古くて新しい悪夢」の正体現場でインシデント対応をしていると、いまだに「なぜ今さらSQLインジェクションで抜かれるのか？」と頭を抱える現場に遭遇する。フレームワークを使っているから安心、という慢心こそが最大の脆弱...

「SQLインジェクション」はデジタル世界の空き巣だ！仕組みと対策を優しく解説しますこんにちは。現場で泥臭いインシデント対応を続けているセキュリティエンジニアです。今日は、Web開発の世界で最も有名でありながら、いまだに被害が後を絶たない「S...

IaCは「コード」か「設計図」か：クラウドインフラにおける静的解析の死角「S3バケットを公開するな」。そんなことは、ジュニアエンジニアでも知っている。しかし、なぜ本番環境でそれが繰り返されるのか。それは、セキュリティを「ゲート」としてしか捉...

IaCは「自動化の武器」か「破壊の導火線」か ― 静的解析で防ぐインフラ崩壊「またS3バケットがパブリック公開されてるぞ」。深夜のSlackに飛び込むアラートほど、背筋が凍るものはない。君たちが必死に書いたそのTerraformやCloud...

「家を建てる前に防犯診断を！」IaCのセキュリティ静的解析でクラウドの穴を塞ぐ方法こんにちは。現場で泥臭いインシデント対応を重ねているセキュリティ担当です。今日は、皆さんがクラウドでインフラを構築する際に欠かせない「IaC（Infrastr...