攻撃の仕組み

入力値がSQLの構文として解釈されることで、データの不正取得・改ざん・認証回避などが起きる。

攻撃が成立する条件

• 文字列連結でSQL文を組み立てている
• データベースアカウントの権限が過大

発生原因

• プレースホルダ（バインド変数）の未使用
• 入力値検証の不足

対策

• プレースホルダ / ORM のパラメータ化クエリを使う
• DBアカウントを最小権限にする
• WAF を補助的に利用する

MITRE ATT&CK

関連インシデント

この手法が確認された登録インシデントはまだありません。