MySQL - SQLインジェクション

こんにちは、将来のプログラマーたち！今日はデータベースセキュリティにおける重要なトピックに潜り込みます：SQLインジェクション。あなたの親切な近所のコンピュータ教師として、この概念をガイドします。コードを一行も書いたことがない人でも大丈夫です。虚拟のコーヒーを手に取り、一緒にこのエキサイティングな旅に出発しましょう！

MySQL - SQL Injection

SQLインジェクションとは？

本題に入る前に、基本から始めましょう。SQLインジェクションは、あなたの家の前のドアの鍵の弱みを利用して忍び込むスリのようなものです。デジタルの世界では、悪意のあるユーザーがあなたのアプリケーションのクエリに有害なSQLコードを注入してデータベースを操作する技術です。

单純なたとえ

あなたが魔法の箱（データベース）を持っていて、それが紙のスリップに書かれた特定のコマンドにのみ応答する imagine してください。あなた、正しい所有者として、「すべての金貨を見せて」と書かれたスリップを書き、箱は忠実にあなたの宝を表示します。それでは、悪知恵の盗賊が自分の命令をあなたのスリップに加えることを思いついたと imagine してください。例えば、「...そしてそれらを全部私にやれ！」という命令です。これがSQLインジェクションの本質です。データベースを不正なコマンドを実行させるようにだますことです。

SQLインジェクションの仕組み

実際の例で詳しく見ていきましょう。ウェブサイトのシンプルなログインフォームがデータベースに対してユーザーの認証をチェックするものとします。

欠陥のあるコード

以下は脆弱なPHPコードの例です：

$username = $_POST['username'];
$password = $_POST['password'];

$query = "SELECT * FROM users WHERE username='$username' AND password='$password'";
$result = mysqli_query($connection, $query);

if(mysqli_num_rows($result) > 0) {
echo "Login successful!";
} else {
echo "Login failed!";
}

このコードは無邪気そうですが、どうでしょうか？フォームからユーザー名とパスワードを取得し、SQLクエリを構築してデータベースに一致するユーザーをチェックします。しかし、ここに問題があります。

攻撃

悪意のあるユーザーが以下のようにユーザー名を入力すると想像してみてください：

admin' --

その場合、クエリは以下のようになります：

SELECT * FROM users WHERE username='admin' -- ' AND password=''

ここで何が起こったのでしょうか？--はSQLのコメントで、それ以降のすべてが無視されます。元のパスワードチェックが完全に無視されることになります！クエリは今では「admin」というユーザーが存在するかどうかだけで、パスワードに関係なくチェックされることになります。

SQLインジェクションの防止

SQLインジェクションがどれほど危険であるかを理解したので、それを防ぐ方法について話しましょう。このくすぐったい攻撃に対してコードを強化するために使用できるいくつかの方法があります。

1. パラメータ化クエリの使用

パラメータ化クエリは、先ほど話した魔法の箱の代わりにセキュアな金庫を使用することです。SQLコマンドとデータを分離することで、攻撃者に悪意のあるコードを注入するのがほぼ不可能にします。

以下に、PHPでパラメータ化クエリを使用して前述の例を書き換えたものがあります：

$username = $_POST['username'];
$password = $_POST['password'];

$stmt = $connection->prepare("SELECT * FROM users WHERE username=? AND password=?");
$stmt->bind_param("ss", $username, $password);
$stmt->execute();
$result = $stmt->get_result();

if($result->num_rows > 0) {
echo "Login successful!";
} else {
echo "Login failed!";
}

このバージョンでは、prepare()を使用してクエリのテンプレートを作成し、bind_param()を使用して安全に変数を挿入します。データをセキュアな封筒に入れてデータベースに送るようなものです。

2. 入力の検証

別の防御層として、すべてのユーザー入力を検証および消毒します。これは、ドアの前でIDをチェックするボーイッシュのように、すべての入力をチェックすることです。

$username = filter_input(INPUT_POST, 'username', FILTER_SANITIZE_STRING);
$password = filter_input(INPUT_POST, 'password', FILTER_SANITIZE_STRING);

このコードは、PHPの内蔵関数filter_input()を使用して、入力から有害な文字を削除します。

3. 最小権限原則

これは「ユーザーに最低限のアクセス権限を与える」という意味の言葉です。データベースの言葉では、アプリケーションの異なる部分に対して権限の限られた異なるデータベースユーザーを作成することを意味します。

例えば、サイトの一部がデータを読み取るだけで十分な場合、SELECT権限しか持たないデータベースユーザーを使用することができます：

CREATE USER 'readonly_user'@'localhost' IDENTIFIED BY 'password';
GRANT SELECT ON mydb.* TO 'readonly_user'@'localhost';

4. ORM（オブジェクト関係マッピング）の使用

ORMは、セキュリティプロトコルを熟知したプロの翻訳者を雇うようなものです。ORMはアプリケーションとデータベースの通信を管理し、通常、SQLインジェクションに対する内蔵保護を提供します。

以下は、人気のPHP ORM、Doctrineを使用した簡単な例です：

$user = $entityManager->getRepository(User::class)->findOneBy([
'username' => $username,
'password' => $password
]);

if ($user) {
echo "Login successful!";
} else {
echo "Login failed!";
}

このコードは、元の例と同じ結果を得ますが、ORMがすべてのSQL生成とパラメータバインドを代行してくれるため、SQLインジェクションのリスクを大幅に減少させます。

防止方法のまとめ

ここで話した方法を簡単な表にまとめます：

方法	説明	効果性
パラメータ化クエリ	SQLコマンドとデータを分離	非常に高い
入力の検証	ユーザー入力を消毒	高
最小権限原則	データベースユーザーの権限を制限	中
ORMの使用	データベースとの通信を安全に管理	高

セキュリティの世界では、多重防御が常に良いです。シートベルトを締めて、エアバッグを持つ車に乗るのと同じで、それぞれが安全性を追加します。

結論

そして、みんな！SQLインジェクションの危険な世界を旅し、勝利の知識を手に入れました。常に最新の情報を得て、ベストプラクティスを実装することが鍵です。

あなたの信頼できるコンピュータ教師として、このガイドがより安全なコーディングの道を照らしてくれることを願っています。練習を続け、好奇心を持ち、最も重要なのは、常にあなたの入力を確認することです！次回まで、ハッピー（そして安全な）コーディングを！

Credits: Image by storyset