この記事にはプロモーションが含まれています。

【PHP】SQLインジェクションの原因や攻撃手法【対策コード付き】

2023-12-242024-11-15

この記事ではセキュリティ攻撃の１つであるSQLインジェクションについて、その対策方法も含めて解説をしていきます。

この記事で分かること

SQLインジェクション攻撃の概要
SQLインジェクション攻撃の被害・影響
SQLインジェクション攻撃の流れ
SQLインジェクション攻撃の根本的原因
SQLインジェクション攻撃の対策方法（PHPでの対策コードあり）

ケケンタ

SQLインジェクション対策をしないと最悪の場合、DB内のデータをすべて抜き取られたり削除されるなど非常に大きな被害が発生します。
この記事を読んでいただき、理解の一助となれば幸いです。

セキュリティ対策についてしっかり学ばれたい方にはこちらの書籍がおすすめです。
（通称：徳丸本と呼ばれる「Webアプリ開発者必読」とまで言われている書籍です）

体系的に学ぶ安全なWebアプリケーションの作り方第2版脆弱性が生まれる原理と対策の実践
徳丸浩／著　SBクリエイティブ／出版│Amazon

ケケンタ

ケケンタのITブログでは、Webアプリ（PHP・Laravel）やWeb制作（WordPress・コーディング）について情報を発信しています。
学習中の方や実務をされている方など多くの方にアクセスいただいていますので、ぜひほかの記事も参考にしてみてください！

運動不足、気になっていませんか？

もしプログラミング学習やお仕事で運動不足が気になっているなら
連続屈伸運動がおすすめです！

ボタンにカーソルを合わせるだけで
カウントダウンが始まるタイマーをご用意してみました！

ケケンタ

無理のない範囲で、ぜひ隙間時間に屈伸運動を取り入れてみて下さい！

タイマースタート

3:00

1分 3分 5分 10分

※運動不足だと連続３分で取り組んでもかなり息が切れます。
（僕は加えて気分もちょっと悪くなりました……）
絶対にご無理の無い範囲でお取り組みください！

SQLインジェクションとは？

SQLインジェクションとは

Webアプリの脆弱性に付け込み、不正なSQL文を注入（インジェクション）することでDB内のデータを盗み出したり削除したりするセキュリティ攻撃のこと

被害・影響

SQLインジェクションの被害や影響は主に以下の通りです。

SQLインジェクションの被害・影響

情報漏洩
情報の改ざん
情報の削除
認証回避
ファイルの読出し・書出しなど

また、漏洩した情報が原因となりクレジットカード被害やWebサイトの改ざんによるマルウェア拡散、アカウントの乗っ取りなどの二次被害へ派生する可能性があります。

攻撃の流れ

SQLインジェクションが実行される場所としては、主に以下の箇所が挙げられます。

SQLインジェクションが実行される場所

検索画面
ログイン画面

Webアプリにおいて、上記の画面の共通点として、「ユーザが入力した任意の文字列を元に、システムがDB内から該当データを取得したりチェックを行う」という処理があります。

このとき、システム上では予め用意されたSQL文が実行されるのですが、攻撃者はそのSQL文に悪意のあるSQL文を無理やり注入（インジェクション）することで、DB内のデータを不正に操作します。

【具体例】検索画面を通じた情報の盗み出し

それではここで、「パソコン関連機器を検索する機能」を例として、SQLインジェクションが実際にどのようにして実行されるのかをお見せします。

以下のSQL文はユーザが検索フォームに入力した内容（$item_name）を元に、DBから該当する「機器名（name）」と「価格（price）」を表示するものです。

SELECT name, price FROM item_list WHERE name = $item_name;

攻撃者は、上記の内、$item_nameに不正な入力内容を含めることで、システム側が意図していないSQL文を実行させます。

例えば、攻撃者によって以下のような入力内容があったとします。

'; UPDATE item_list SET price = '0

これにより、システム側で組み立てられるSQL文は以下のようになります。
※分かりやすくするために攻撃者の入力内容を【】で囲んでいます。

SELECT name, price FROM item_list WHERE name = '【'; UPDATE item_list SET price = '0】';

ここで注目して頂きたいのが以下の2か所です。

WHERE name = ”;
UPDATE item_list SET price = ‘0’;

１では「’;」が文末に注入されたことで、無理やり正常のSQL文が終了させられています。

２では、UPDATE文が注入されていますが、WHERE文による条件指定が含まれていないため、更新対象はすべてのデータということになります。

つまり、上記のSQL文が実行されることにより、item_listテーブル内の価格情報（price）がすべて0円に変更されてしまうということです。

SQLインジェクションの根本的原因

結論から言うと、SQLインジェクションの根本的原因は

正規のSQL文にユーザの入力内容をそのまま埋め込む仕様になっている

ことにあります。

上記の例をご覧いただいたように、SQLインジェクションでは正規のSQL文からはみ出させる形で不正のSQL文を実行させています。

攻撃者は何らかの工夫を施すことで、この「はみ出す部分」を作り出し、そこに悪意あるSQL文を埋め込み、不正を行うのです。（例ではUPDATE文を「はみ出させる」ことで実行させています。）

これが可能となってしまう原因は、システム側でSQL文を組み立てる際、ユーザの入力内容をそのままSQL文に埋め込んでいるためです。

ケケンタ

つまり、ユーザの入力内容をそのまま埋め込まないことがSQLインジェクション対策になるということです。

対策方法

繰り返しになりますが、SQLインジェクションの原因は、ユーザの入力内容をSQL文にそのまま埋め込んでいることにあります。

この状態を回避する方法は複数ありますが、ここでは最も確実となるプレースホルダーを利用する方法をご紹介します。

プレースホルダーとは？

ケケンタ

プレースホルダーって何…？

という方のために簡単にご説明をすると

プレースホルダーとは、後から任意の値をセットするために予め用意された仮のスペースのこと

分かりやすく言うと、プレースホルダーを用いることで、後からSQL文の構造を変更することが理論的に不可となります。

つまり、攻撃者による不正なSQL文の実行を防ぐことが可能になるということです。

プレースホルダーの実装【PHPコードあり】

実際の実装例は以下の通りになります。（★が付いている処理が今回の対策と関連している部分です。）

<?php

/*
 * 今回はPDOを使用した実装としています。
 */

// ユーザの入力内容を取得
$item_name = $_GET['item_name'];

try {
    // DBへ接続の準備
    $dsn = 'mysql:dbname=sample_db;host=localhost;charset=utf8';
    $user = 'ユーザ名';
    $password = 'パスワード';

    // オプション指定
    $options = array(
        PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,    // SQL実行失敗時には例外をスロー
        PDO::MYSQL_ATTR_MULTI_STATEMENTS => false,      // ★複文の実行を不可にする 
        PDO::ATTR_EMULATE_PREPARES => false,            // ★静的プレースホルダーを使用する
    );
    // PDOオブジェクトを生成してDBへ接続
    $dbh = new PDO($dsn, $user, $password, $options);

    // SQL文の作成
    // ★プレースホルダー名として「:item_name」を指定
    $sql = 'SELECT name, price FROM item_list WHERE name = :item_name';

    // SQLへ接続準備
    $stmt = $dbh->prepare($sql);

    // ★プレースホルダ（:item_name）に値（$item_name）をセット
    $stmt->bindValue(':item_name', $item_name, PDO::PARAM_STR);

} catch (Exception $e) {
    // 例外処理
}

?>

以下より、★が付いている処理について順番に解説をしていきます。

【解説】複文の実行を不可にする

以下の部分でSQL文の複文の実行を不可としています。

PDO::MYSQL_ATTR_MULTI_STATEMENTS => false,      // ★複文の実行を不可にする

ケケンタ

「複文」とは、例えば以下のように、同時に複数のSQL文が実行される構成となっているものを指します。

SELECT name, price FROM item_list WHERE name = ''; UPDATE item_list SET price = '0';

前述したように、SQLインジェクションとは正規のSQL文から「はみ出す」形で不正なSQLを差し込む攻撃です。

つまり、このように複文の実行を不可にすることでSQLインジェクションの抑制になるのです。

ただし、SQLインジェクション攻撃のパターンの中には複文を利用しないものもあります。
したがって、このオプション指定はあくまで特定の攻撃に対する抑制にはなるものの、完全な対策とはならない点に注意が必要です。

【解説】静的プレースホルダーを指定

次に静的プレースホルダーについてですが、こちらは以下の部分で指定をしています。

PDO::ATTR_EMULATE_PREPARES => false,            // ★静的プレースホルダーを使用する

プレースホルダーには実は

静的プレースホルダー
動的プレースホルダー

の2種類があります。正しく処理が記述できていればどちらを使用してもSQLインジェクション対策となりますが、静的プレースホルダーの方が原理的に対策が確実なため、仕様的に問題が無ければこちらを採用するのが無難です。

【解説】プレースホルダーの利用

プレースホルダーを実際に使用している箇所がこちらです。

// SQL文の作成
// ★プレースホルダー名として「:item_name」を指定
$sql = 'SELECT name, price FROM item_list WHERE name = :item_name';

    ～中略～

// ★プレースホルダ（:item_name）に値（$item_name）をセット
$stmt->bindValue(':item_name', $item_name, PDO::PARAM_STR);

処理の流れは以下のようになります。