【SQLインジェクション】エンコーディングについて

Question

わからないこと

・％エンコーディングがどのタイミングで行われているのかわからない。
・どの文字に対して％エンコーディングをかければ良いかがわからない。

詳細

現在、SQLインジェクションの学習をしております。
SQL構文の挿入をして、結果がどのような挙動を示すかを確認しております。

例えば以下のようなデータベースがあって、

No	名前	年齢
1	鈴木	２５
1	田中	２９
1	加藤	２１

（columnは、No,name,age、tablenameはusersとする）

として、GETメソッドにて、nameの値送信し、その値を検索し、結果を返すSQL構文の以下があるとします(PHPで記載しているとします。)
$sql="SELECT * FROM users WHERE name = '$name'";

ここでURLにSQL文を挿入し、
http://example.jp/exam.php?name='+OR+1='1
とさせて、全件表示をさせるのですが、なぜこの「'」は%エンコーディング(%3B)が必要ないのでしょうか？
他にもいろいろ見ているのですが、イマイチどのタイミングでエンコーディングが必要なのかがわからないです。

初歩的な質問で恐縮ですが、どなたかご教示頂けますと幸いです。
よろしくお願いします。

Comments

[m.ts10806]

プリペアドステートメントでバインドすればわざわざ考える必要もないですが、そういうことではなく？

[jun_2222]

ご返答ありがとうございます。
ちょっとこの質問の意図がかけていて恐縮なのですが、意図としては、SQLインジェクションの攻撃方法について知りたくてこのような質問をしております。
ローカルプロキシツールを用いたインジェクションの際にどの文字列を％エンコーディングをかけた状態で挿入すれば良いのかがわからず、上記の質問をしております。

URLパラメータにクエリを挿入する際は、
'+UNION+SELECT+'abc','def'--
であったり、
cookieの値に挿入するクエリは
' AND '1'='1
（ここでは空白が「＋」となっていない）
'%3BSELECT＋sleep(10)--
（この時はエンコードされている）
とあったりし、どこで%エンコードが行われて、どの時に必要なのかがわからなかったため、このような質問をさせて頂きました。

Answer 1

これはSQLインジェクションの問題ではなくパーセントエンコードの問題ですね。
ブラウザはアドレスバーに入力された一部の記号文字を自動的にパーセントエンコードします。その文字は、RFCで決まっているものと、RFCで必須とはされていないものの「安全側に倒して」パーセントエンコードするものがあります。後者の対象文字はブラウザにより違います。

以下の記事によると、シングルクォートはパーセントエンコードが必須の文字ではありませんが、「他の文字もエンコードできます」ということなので、Google ChromeやFirefoxではエンコードされます。一方、IEではエンコードされません。これらはRFCの規約通りの正しい処理です。

エンコードが必要な特殊文字は、':', '/', '?', '#', '[', ']', '@', '!', '$', '&', "'", '(', ')', '*', '+', ',', ';', '='、および '%' 自体です。他の文字もエンコードできますが、エンコードする必要はありません。
Percent-encoding (パーセントエンコーディング) - MDN Web Docs 用語集: ウェブ関連用語の定義 | MDN

では、そもそもなぜパーセントエンコードが必要かというと、クエリ文字列や x-www-form-urlencoded 形式のPOSTパラメータでは、name1=value1&name2=value2 ... という形式でパラメータ名とパラメータ値を指定するので、名前や値の文字列に = や & などの記号が入ると「紛らわしい」からです。例えば、value1として「1&name3=4」という値を指定すると、

name1=1&name3=4&name2=2

等となるので、受け取り側は以下のように解釈してしまいます。

name1: 1
name3: 4
name2: 2

これを避けるには、&→%26 =→%3d とエンコードして、

name1=1%26name3%3d&name2=2

とする必要があります。そうすると、名前や値の中に区切り文字（&や=）が含まれないので、「紛らわしさ」がなくなります。RFCでは他の状況も含めて、さらに多くの文字をエンコード対象にしているわけです。

ということで、ご質問への回答ですが、

なぜこの「'」は%エンコーディング(%3B)が必要ないのでしょうか？

これはRFCに要求がなく、上記の「紛らわしさ」にも該当しないからです。

イマイチどのタイミングでエンコーディングが必要なのかがわからないです。

パーセントエンコードについては、URLを記載する際やアドレスバーに設定する際に必要になります。例外はMETHOD=GETのフォームでinput要素等に指定する場合で、この場合はブラウザが自動的にパーセントエンコードしてくれます。パーセントエンコードが必要な文字はRFCで規定されていますが、パーセントエンコードが必要とされる文字でも文脈上誤解の余地がなければブラウザが適当に解釈してくれます。

---

（コメントへの返答を追記）

■つまり、METHOD=GETのフォームでパラメータを送信し、その値をBurpSuiteなどで改竄する時は、

パーセントエンコーディングされた値を挿入しなければならないという理解であっておりますでしょうか？

はい。そのとおりです。

また、すいません、上記に関連して、一つ追加で質問をさせて頂けないでしょうか。

■「例外はMETHOD=GETのフォームで〜」とご回答頂いておりますが、METHOD=POSTとcookieに保存された値もブラウザが自動的にパーセントエンコードしてくれるのでしょうか？

POSTはその通りです。cookieは言語やライブリに依存しますが、PHPのsetcookieの場合はパーセントエンコードしますが、setrawcookieの場合はパーセントエンコードしません。そもそもcookieをセットするのはブラウザではないですね。ブラウザはサーバーがSet-Cookieヘッダで指定した値を保存するだけで、その際にパーセントエンコードは考慮しません。

Comments

[jun_2222]

ご丁寧なご回答ありがとうございます！！
（「いつも安全なWEBアプリケーションの作り方」で勉強させてもらってます！！）

ご回答頂いたところ、大変恐縮ですが、以下の私の認識であっておりますでしょうか？

■つまり、METHOD=GETのフォームでパラメータを送信し、その値をBurpSuiteなどで改竄する時は、
パーセントエンコーディングされた値を挿入しなければならないという理解であっておりますでしょうか？

また、すいません、上記に関連して、一つ追加で質問をさせて頂けないでしょうか。
■「例外はMETHOD=GETのフォームで〜」とご回答頂いておりますが、METHOD=POSTとcookieに保存された値もブラウザが自動的にパーセントエンコードしてくれるのでしょうか？

※下記のサイト（PortSwigger:Web Security Academy）で攻撃手法を学習をしていたのですが、
（URL：https://portswigger.net/web-security/sql-injection/blind/lab-conditional-responses）

このサイト「Solution」の2.に記載のある、「TrackingId=xyz' AND '1'='1」(TrackingIdはcookie名)のcookieに値を挿入する箇所があるのですが、空欄がパーセントエンコーディングされていなかった（＋が挿入されていない）ことが疑問に思いこのような質問をしました。

長文になり、大変申し訳ございませんが、ご回答頂けますと幸いです。

[jun_2222]

理解することができました。
確かにcookieをセットするのは、サーバー側ですね。cookieの値がエンコーディングされるかどうかは、プログラムの仕様に依存するということも、理解ができました。
ご回答ありがとうございました。