質問をすることでしか得られない、回答やアドバイスがある。

15分調べてもわからないことは、質問しよう!

新規登録して質問してみよう
ただいま回答率
85.50%
MySQL

MySQL(マイエスキューエル)は、TCX DataKonsultAB社などが開発するRDBMS(リレーショナルデータベースの管理システム)です。世界で最も人気の高いシステムで、オープンソースで開発されています。MySQLデータベースサーバは、高速性と信頼性があり、Linux、UNIX、Windowsなどの複数のプラットフォームで動作することができます。

PHP

PHPは、Webサイト構築に特化して開発されたプログラミング言語です。大きな特徴のひとつは、HTMLに直接プログラムを埋め込むことができるという点です。PHPを用いることで、HTMLを動的コンテンツとして出力できます。HTMLがそのままブラウザに表示されるのに対し、PHPプログラムはサーバ側で実行された結果がブラウザに表示されるため、PHPスクリプトは「サーバサイドスクリプト」と呼ばれています。

Q&A

解決済

3回答

1776閲覧

クエリが安全かどうか心配です(PHP)

oyabun

総合スコア32

MySQL

MySQL(マイエスキューエル)は、TCX DataKonsultAB社などが開発するRDBMS(リレーショナルデータベースの管理システム)です。世界で最も人気の高いシステムで、オープンソースで開発されています。MySQLデータベースサーバは、高速性と信頼性があり、Linux、UNIX、Windowsなどの複数のプラットフォームで動作することができます。

PHP

PHPは、Webサイト構築に特化して開発されたプログラミング言語です。大きな特徴のひとつは、HTMLに直接プログラムを埋め込むことができるという点です。PHPを用いることで、HTMLを動的コンテンツとして出力できます。HTMLがそのままブラウザに表示されるのに対し、PHPプログラムはサーバ側で実行された結果がブラウザに表示されるため、PHPスクリプトは「サーバサイドスクリプト」と呼ばれています。

0グッド

0クリップ

投稿2014/08/24 09:52

PHPのスクリプトがあり、DBにはMySQLを使っています。

スクリプトは下のようになっています。

lang

1$get = $_GET["user-input"]; 2$sql = sprintf("INSERT INTO table (column) VALUES('%s')",$get ); 3mysql_query($sql);

SQL注入によって、このスクリプトにどのような攻撃が出来るのでしょうか?

どなたか回答お願いします。

気になる質問をクリップする

クリップした質問は、後からいつでもMYページで確認できます。

またクリップした質問に回答があった際、通知やメールを受け取ることができます。

バッドをするには、ログインかつ

こちらの条件を満たす必要があります。

guest

回答3

0

過去に記事を書いたことがありますので参考にして下さい。

投稿2016/05/10 12:46

ockeghem

総合スコア11701

バッドをするには、ログインかつ

こちらの条件を満たす必要があります。

0

既に回答されてるので補足レベルですが、
マニュアルにも書かれていますがmysqlは古いのでmysqliかPDO_MySQLが推奨されてます。
ちなみにエスケープしたものを置換で組み立ててSQL発行するより、
prepareするのがパフォーマンスや利便性的に推奨されてます。

PDO::quote

この関数をSQLの構築に使用する場合、SQLステートメントにユーザーの入力値を埋め込むためのPDO::quote()を使用する代わりに、バインドパラメータを用いてSQLを準備するためのPDO::prepare()を使用することが強く推奨されます。バインドパラメータを用いるプリペアドステートメントは、補間されたクエリした場合に比べ、移植性や利便性に優れ、SQLインジェクションに対する免疫力を持つだけでなくしばしばより高速で、サーバーやクライアント側でコンパイル済みの形式でクエリをキャッシュする事が可能です。

投稿2014/08/25 13:37

kinme

総合スコア843

バッドをするには、ログインかつ

こちらの条件を満たす必要があります。

0

ベストアンサー

まず。ユーザーが変更できる値をそのままコードに埋め込むと自由に処理が実行できると言うことになります。

下記のコードが送られてきてそのまま実行されれば、管理者としてユーザーがデータベースをいじれるようになります。

lang

1$get = "admin') ON DUPLICATE KEY UPDATE password=MD5(CONCAT('knownsalt', 'newpassword'))#";

なので、mysql_real_escape_string関数を使ったほうがいいでしょう。この関数は SQL 文中で用いる文字列の特殊文字をエスケープすることができます。

下記マニュアル
http://www.php.net/manual/ja/function.mysql-real-escape-string.php

下記例

lang

1$sql = sprintf("INSERT INTO table (column) VALUES(%s)", 2mysql_real_escape_string($get)); 3mysql_query($sql);

投稿2014/08/25 07:30

hogehogehoge

総合スコア165

バッドをするには、ログインかつ

こちらの条件を満たす必要があります。

あなたの回答

tips

太字

斜体

打ち消し線

見出し

引用テキストの挿入

コードの挿入

リンクの挿入

リストの挿入

番号リストの挿入

表の挿入

水平線の挿入

プレビュー

15分調べてもわからないことは
teratailで質問しよう!

ただいまの回答率
85.50%

質問をまとめることで
思考を整理して素早く解決

テンプレート機能で
簡単に質問をまとめる

質問する

関連した質問