php pdo sqlインジェクションについて

Question

PHPでログイン画面を制作しているのですが、これでSQLインジェクションの対策になっているのでしょうか？

$username = $_POST["username1"]
$stmt  = $pdo->prepare("SELECT pass FROM username WHERE user= ?");
     $stmt->bindValue(1,$username);
     $stmt->execute();

宜しくお願いします。

---

追記・やったこと

• パスワード欄に' OR'a'='aと入力しログイン試行
• パスワード欄に1' or '1' = '1';--と入力してログイン試行
• パスワード欄に'' OR 1 = 1; DELETE FROM employee; -- 'と入力しログイン試行

-パスワード欄に'; update account_table set pw='foo' where uid='admin'--と入力しログイン試行

Comments

[m.ts10806]

SQLインジェクションが起きる情報を送信して試したりしたのでしょうか？

[退会済みユーザー]

ネットで調べたものや、徳丸本の内容はやってみました。しかし、この方法でインジェクション対策としてなっているか気になったので質問させてもらいました。よろしくお願いします。

[m.ts10806]

実際に試したことを具体的に質問に記載してください。
これだけだとデバッグ依頼に等しいです（あれはやってみた？これはやってみた？と確認しないと何を試したか誰にも分からないので質問の仕方としてよろしくないです）

[m.ts10806]

>徳丸本の内容はやってみました
徳丸さんご本人も回答者として出てこられることもあるので、余計に「どの項目をどう試したか」はあったほうが良いです。

[退会済みユーザー]

そうですね。やったことを追記しました。ありがとうございます。

Answer 1

『徳丸本の内容はやってみました』とのことですので、やってまいりました。まずは、拙著をお読みいただきありがとうございます。

まず、SQLインジェクションがあるかないかでいうと、引用された4行に関してはSQLインジェクション脆弱性はありません。しかし、それ以外の箇所に脆弱性（SQLインジェクション以外も含めて）があるかないかはもちろん分かりません。

あと、気になることとして、SQLインジェクション検査として使用している文字列が危険すぎることです。確かに、私の本に出てくる文字列もありますが、これはあくまで「SQLインジェクションの脅威の説明」のためのものですので、脆弱性があった場合に破壊的な結果になるものがあります。

簡単に使える診断文字列としては、IPAが公開している「ウェブ健康診断仕様」があり、以下のURLからダウンロードできます。

https://www.ipa.go.jp/security/vuln/websecurity.html

---

「引用された4行に関してはSQLインジェクション脆弱性はありません」と書きましたが、状況によってはSQLインジェクションになる可能性がゼロではありません。
以下のブログ記事に書いたような状況が過去には（PHPのバージョンが古い場合）ありました。

ぼくがPDOを採用しなかったわけ(Shift_JISによるSQLインジェクション)

当該ブログからSQL呼び出しの箇所を引用しますが、ご質問のものとほぼ同じです。バインドの仕方が違いますが、そこが原因ではありません。

$sth = $dbh->prepare("select * from test WHERE name=?");
$sth->setFetchMode(PDO::FETCH_NUM);
$name = ...
$sth->execute(array($name));

なので、このような質問をされる場合は、もっと広い範囲でソースコードを示していただいた方が良いアドバスができると思います。

ただし、この問題はプログラム内部で文字エンコーディングとしてShift_JISを使っているケースでのみ発生するので、さすがに現在、そのような状況である可能性は極めて低いと思います。

Comments

[退会済みユーザー]

回答ありがとうございます。webアプリを初めて制作する上で安全なwebアプリケーションの作り方は理屈から載っていて非常にわかりやすいです。ありがとうございます。引用の4行に関してはsqlインジェクションの脆弱性がないとのことで安心しました。ウェブ健康診断仕様も確認したいと思います。回答ありがとうございます感謝します。

[退会済みユーザー]

>>なので、このような質問をされる場合は、もっと広い範囲でソースコードを示していただいた方が良いアドバスができると思います。
-確かにそうでした。これからはもっと広い範囲でコードを示したいと思います。ありがとございました。