SQLインジェクションについて

Question

基本情報技術者試験へ向けて勉強していてSQLインジェクションの説明のSQL文で理解できない点があるので質問させていただきます。

ログインする際IDとパスワードで認証するシステムで

`ID:ABCDEF
 Pass:'OR 1 = 1 --'

と入力するとSQLが

SELECT * FROM 会員表 WHERE 
  ID = 'ABCDEF' AND Pass = '' OR 1 =1 --''

となり1 = 1が必ず真となるのでID、Passともに任意となってしまう。

という説明でしたが、この場合ID = 'ABCDEF'のANDは 1 = 1が入ってしまっている時点で有効でないのでしょうか。
ANDがあるから　IDはABCDEFじゃないと入れないんじゃないの？という認識なのですが、1=1が入ってしまっている時点でWHEREに対する条件はtrueとなるということなのでしょうか。
SQLも基本は勉強したのですが、不慣れなためご教授いただければ幸いです。

Answer 1

OR演算子よりもAND演算子のほうが優先度が高いため、
AND演算子で結合されている方を先に評価します。
ID = 'ABCDEF' AND Pass = ''
の結果がFALSEだとしても
ORで結合される
1 =1
がTRUEなので
ORは一方がTRUEなら結果TRUEなので成立してしまう、
っていう話です。

詳しくは、例えば
MySQL :: MySQL 5.6 リファレンスマニュアル :: 12.3.1 演算子の優先順位
4.2. 評価式
SQL演算子
など各処理系での優先順位・評価順位に関する記述も併せてお読みください。

Comments

[sanezane]

リンクまで貼っていただきましてありがとうございます！
おかげさまで理解できました！

Answer 2

評価順の問題です。
まずID = 'ABCDEF' AND Pass = ''が評価されます。その結果が確定したあと、(結果) OR 1 = 1の評価に入ります。

最初の結果がTRUEならもとより、FALSEでもORの後がTRUEなので、全体の結果としては必ずTRUEになります。

Comments

[sanezane]

評価順という意味がようやく理解できました。
ID = 'ABCDEF' AND Pass = '' OR 1 =1 --''を一つのANDの式として見ていました。
ありがとうございます！

Answer 3

ANDで挟まれた条件は両方とも満たされないとTrueになりません。ORの場合は片方でOKです。本件では組み合わせなので優先順位に基づいて判定されます。

Comments

[sanezane]

優先順に評価しているということが理解できまた！
ANDの中にORが入っているのかと、勘違いしていました。
ありがとうございます！