PHP、MySQL、SQLインジェクション：mysql_real_escape_string() を回避する方法

2024-04-02

PHP、MySQL、SQLインジェクション：mysql_real_escape_string() を回避する方法

SQLインジェクションは、Webアプリケーションのセキュリティにおける深刻な脅威です。攻撃者は、悪意のあるSQLクエリを注入することで、データベースへの不正アクセス、データの改ざん、削除、さらにはシステム乗っ取りなどを実行できます。

mysql_real_escape_string() は、SQLインジェクションを防ぐための代表的な対策として知られています。しかし、この関数にはいくつかの制限があり、完全に安全とは言えません。

回避方法

以下、mysql_real_escape_string() を回避する代表的なSQLインジェクション手法と、それらへの対策について解説します。

クエリパラメータの連結

$username = $_POST['username'];
$password = $_POST['password'];

$query = "SELECT * FROM users WHERE username = '$username' AND password = '$password'";

上記のように、ユーザー入力値を直接クエリに連結すると、SQLインジェクションの脆弱性が生じます。

対策

プレースホルダを使用する

$stmt = $pdo->prepare("SELECT * FROM users WHERE username = ? AND password = ?");
$stmt->execute([$username, $password]);

プレースホルダを使用することで、ユーザー入力値とクエリを分離し、安全にクエリを実行できます。

コメントアウト

$username = $_POST['username'];

$query = "SELECT * FROM users WHERE username = '$username' -- '";

上記のように、クエリ末尾にコメントを追加することで、その後の文字列を無効化できます。

クエリのパラメータを厳密に検証する

入力値が数字であることを確認するなど、厳密な検証を行うことで、不正な値の挿入を防ぎます。

$username = $_POST['username'];

$query = "SELECT * FROM users WHERE username = '$username' UNION SELECT 1, 2, 3 FROM information_schema.tables";

UNION SELECT を使用することで、本来のクエリ結果に任意のデータを追加できます。

SELECT 句で必要な列のみを指定する

SELECT * ではなく、必要な列のみを指定することで、攻撃者が追加できるデータの範囲を制限できます。

$username = $_POST['username'];

call get_user_by_username('$username');

ストアドプロシージャを使用することで、データベースサーバー側でクエリを実行し、アプリケーションコードから直接SQLクエリを発行する必要性をなくせます。

ストアドプロシージャのパラメータを厳密に検証する

ストアドプロシージャのパラメータについても、厳密な検証を行い、不正な値の挿入を防ぎます。

データベースへのアクセス権限を最小限に抑える
ファイアウォールなどのセキュリティ対策を導入する
最新のバージョンのソフトウェアを使用する

mysql_real_escape_string() は、SQLインジェクションを防ぐための有効な手段の一つですが、万能ではありません。上記の対策を組み合わせることで、より安全なWebアプリケーション開発を実現できます。

上記の情報は参考情報であり、いかなる保証もありません。セキュリティ対策は常に最新の情報に基づいて実施する必要があります。

<?php

$pdo = new PDO('mysql:host=localhost;dbname=test', 'root', '');

$username = $_POST['username'];
$password = $_POST['password'];

$stmt = $pdo->prepare("SELECT * FROM users WHERE username = ? AND password = ?");
$stmt->execute([$username, $password]);

$user = $stmt->fetch();

if ($user) {
  echo "ログイン成功";
} else {
  echo "ログイン失敗";
}

?>

<?php

function is_valid_username($username) {
  return preg_match('/^[a-zA-Z0-9_]+$/', $username);
}

function is_valid_password($password) {
  return strlen($password) >= 8;
}

$username = $_POST['username'];
$password = $_POST['password'];

if (!is_valid_username($username) || !is_valid_password($password)) {
  echo "不正な入力です";
  exit;
}

// ...

?>

ストアドプロシージャの使用

<?php

$pdo = new PDO('mysql:host=localhost;dbname=test', 'root', '');

$username = $_POST['username'];

$stmt = $pdo->prepare("CALL get_user_by_username(?)");
$stmt->execute([$username]);

$user = $stmt->fetch();

if ($user) {
  echo "ログイン成功";
} else {
  echo "ログイン失敗";
}

?>