トップページ⇒tech
47コメント11KB

未だにSQLインジェクションが発生するOS･DBMSって？

■ このスレッドは過去ログ倉庫に格納されています
0001デフォルトの名無しさん2008/10/07(火) 22:52:06
最悪だね。

早く脆弱なOSもデータベースシステムも
消えればいいのに。


0002デフォルトの名無しさん2008/10/07(火) 23:06:55
>>1は、SQLインジェクションも知らずにプログラムを組み
被害にあい、取引先に損害を与えたものです。
0003デフォルトの名無しさん2008/10/07(火) 23:40:06
SQLインジェクションが発生するのは実装上の問題であって、
OSやDBMS自体をどんなに堅牢に作っても無意味。
頭が悪いにも程がある。
0004デフォルトの名無しさん2008/10/07(火) 23:48:26
codezineでlinqの記事見たばかりのvb厨だったりして
0005デフォルトの名無しさん2008/10/07(火) 23:48:38
>>3
はげど
0006デフォルトの名無しさん2008/10/08(水) 00:35:40
このスレッドは天才チンパンジー「アイちゃん」が
言語訓練のために立てたものです。

アイと研究員とのやり取りに利用するスレッドなので、
関係者以外は書きこまないで下さい。
0007デフォルトの名無しさん2008/10/08(水) 08:15:52
スレタイの意味がわからなかった
なんだただのバカか
0008デフォルトの名無しさん2008/10/08(水) 09:55:25
OS叩きにこのネタ持ってくるバカ大量にいるのはなんなんだろうな。
0009デフォルトの名無しさん2008/10/08(水) 12:57:05
日本人にはバカが大量にいるから
0010デフォルトの名無しさん2008/10/08(水) 13:01:33
データと操作を明確に分離した方がいいんじゃないの
0011デフォルトの名無しさん2008/10/08(水) 13:19:52
>>9
技術者の馬鹿度で言うなら英語圏が一番ひどいかな
英語のMLなんか見てるとなんか動きませんけどどうして？
みたいな質問コンスタントに出てくるからな
言語別で言うと日中韓あたりはかなり優秀だと思う
0012デフォルトの名無しさん2008/10/08(水) 13:26:38
>>11
日本は経営者が馬鹿だから
セキュリティみたいに上の判断が必要になる要件ではどうしようもなくなる
0013デフォルトの名無しさん2008/10/08(水) 14:22:05
日本のメイリングリストは馬鹿が排除される傾向があるから
0014デフォルトの名無しさん2008/10/08(水) 14:30:01
>>3
はげどう
0015デフォルトの名無しさん2008/10/08(水) 14:36:59
飲酒運転していても事故を起こさない安全な車が求められている時代に何言ってんだ。
そんないい加減なことを言っているからプログラマの社会的地位が一向に上がらないんだよ。
0016デフォルトの名無しさん2008/10/08(水) 14:45:55
子供に凍らせた蒟蒻ゼリー与えて殺して
親の責任を逃れるために企業を訴える口の方ですか
0017デフォルトの名無しさん2008/10/08(水) 14:47:02
酔っ払って足を踏み外して川に落ちるような人の面倒まで見てられません、
というだけなんですがwwwwwwwwwwwww
0018デフォルトの名無しさん2008/10/08(水) 14:50:45
求められてるのは
飲酒していたら運転させない車だろ
0019デフォルトの名無しさん2008/10/08(水) 14:52:04
法律違反を幇助する機械が求められる世の中らしいですよ
0020デフォルトの名無しさん2008/10/08(水) 16:28:03
>>10
その仕組みがPREPAREじゃないのか
0021デフォルトの名無しさん2008/10/08(水) 16:36:58
昔、杏里が、気ままにインジェクションとか歌ってたよな
その世代がファッション感覚で勘違いして
インジェクションを肯定しているのだと思う
0022デフォルトの名無しさん2008/10/08(水) 18:48:51
C#の歌かと思ってたらRDBMSの歌だったのか！
0023デフォルトの名無しさん2008/10/09(木) 23:53:17
それ気ままにリフレクションだろ。Javaの歌だよ。
0024デフォルトの名無しさん2008/10/10(金) 14:31:45
取り合えず仕様書に何も書いてなけば何もしませんけどね。
0025デフォルトの名無しさん2008/10/11(土) 15:17:10
技術者なら>>1のような発言はありえない。
パソコン触り始めた中学生なんじゃない？

って流石につりか
0026デフォルトの名無しさん2008/10/12(日) 04:31:07
アプリ側で実行する文の数を決めて、それ以上の文を実行できないような仕組みになれば
SQLインジェクションも発生しないんだけどな。その辺までは対応してもいいと思う。
0027デフォルトの名無しさん2008/10/12(日) 04:40:59
俺が5年位前JavaでWebアプリ組んでてpreparedStatementしらなくて普通のStatementつかってて
緊急応援のCプログラマ（Java初）にpreparedStatementの使い方おしえてもらったなあ。

でもpreparedStatementじゃSQLインジェクションは完全に防げないでしょ。PHPみたいななんか完全に防ぐ関数がないと。

もうPG退職したから、忘れたけど。
0028デフォルトの名無しさん2008/10/12(日) 04:42:28
PHPのサニタイジングなんて高木先生も激怒するくらいのザルだろ
0029デフォルトの名無しさん2008/10/12(日) 06:27:36
銀行の現金輸送を珍走団に任せるようなもんだろ。
度を越した人材使い捨てによるコストダウンを突き詰めたら
セキュリティなんて配慮できるわけがない。
0030デフォルトの名無しさん2008/10/12(日) 06:48:30
>>27
早朝から安い釣りは勘弁
現場に居た人間が「完全に防ぐ関数」なんて世迷い言

ああああああ完全に防ぐ関数欲しい欲しい欲しい
公開ユースで顧客に入力させる用途で完全に防ぐ関数とかほんと欲しいマジ欲しいガチで欲しい

寝かせろおおおおおお
0031デフォルトの名無しさん2008/10/12(日) 11:14:10
セキュリティ的な仕様漏れなんてスルーですが何か？
0032デフォルトの名無しさん2008/10/12(日) 13:45:36
テキストを与えてDBを動かすという仕組みがおかしい
ここはCOBOLを見習ってもいい
0033デフォルトの名無しさん2008/10/15(水) 22:45:40
@paramとか
:paramとか
使ってればだいたいはおっけーなんじゃねーの？
0034デフォルトの名無しさん2009/04/14(火) 22:15:59
そうか
0035デフォルトの名無しさん2009/09/02(水) 07:31:38
そうだったのか
0036デフォルトの名無しさん2009/09/02(水) 08:54:18
信心が足らんからだろ
0037デフォルトの名無しさん2009/09/02(水) 11:21:00
南妙法蓮華経
0038デフォルトの名無しさん2010/09/08(水) 10:34:57
もうセッションごとに仕様を変えちゃえよ
0039半素人です。2010/10/22(金) 13:54:22
どなたか知っていればIIS７．０におけるＳＱＬインジェクション対抗策に
ついてヒントでよいので 教えてください
半素人です。


プラットフォームはWINDOWS2008Server R3＋MSSQLSERVER2008Expressです。

1ヶ月ほど前からデータベースに悪質なスクリプトが書き込まれるようになりました。
そこで、DBユーザー名もパスワードも変更しましたがそれでも書き込まれる
ので、データベースにUPDATEもしくはinsertしているファイルに
エスケープ処理をしようとしていますが、
ファイル数が多いので一旦、それらのファイルに外部からアクセスできないようにIISで設定してしまいました。
ほとんどすべてのIPアドレスからのアクセスを拒否するようにマスクは0.0.0.0に設定しています。
アクセスしようとすると403エラーになります。
ところがそれでもスクリプトが書き込まれるのです。
こういう状況でスクリプト書き込み可能なのでしょうか？

ファイルアクセス不可にも関わらず、テーブルに書き込みされるということは、ファイルにエスケイプ処理を施しても無駄だと思い、

とりあえずＤＢのすべてのユーザーにテーブル」への挿入・更新権限を拒否しました。
これでやっと書き込みがなくなりましたが、この設定ではWEB上から何らかの
データ操作をしようとする毎にＷＥＢサーバーにリモートデスクトップ等で
サーバーにアクセスして、ＳＱＬサーバーのユーザーに権限付与しなければならず、ＷＥＢアプリケーションとしての意味がなくなります。
対応策はあるのでしょうか
大変困っています。
レンタルサーバーですが、ファイヤーウォールではサーバーへの
解放ポートはport80のみで、当然、SQLポート1433どは閉じています
0040デフォルトの名無しさん2010/10/22(金) 15:49:00
>>9
韓国には一人も居ないのにね
0041デフォルトの名無しさん2010/10/22(金) 15:52:30
確かにバカな人間とは言ってもバカな猿とは言わないからね。
0042デフォルトの名無しさん2010/10/23(土) 01:06:08
お前らアホか。言語によらずBIND変数でSQLインジェクションは完全に防げるだろ。
ただしパラメータが可変個なSQL文はムリ。
0043半素人です。2010/10/25(月) 09:24:16
＞＞４２
やっぱり２ＣＨのスレに投稿した私がバカでした。
ここに投稿する連中は、社会性のない言動が多い低レベルな発言ばかり
周囲をバカ扱いする[人間的アホ]ばっかり
もう来るのやめた　おまえみたいなアホどもの相手してられん
0044デフォルトの名無しさん2010/10/25(月) 10:47:07
2ch は心の荒んだ人の溜り場だな
0045デフォルトの名無しさん2010/10/25(月) 15:14:46
>>43
そんなことも知らなかったのか。バカだな。
0046デフォルトの名無しさん2010/11/10(水) 21:12:05
>>43
便所の落書きに社会性を求める方が酷だろう
そんなに知りたいのならググるか本買うかしたほうがいい
0047デフォルトの名無しさん2010/12/02(木) 18:57:30
俺のホワイトソースをお前らにインジェクションしてやるよ
■ このスレッドは過去ログ倉庫に格納されています