IT用語集

インジェクション攻撃(Injection Attack)って何?

はじめに

インジェクションとは、注入, 注射を意味します。
つまり、インジェクション攻撃とは「何か悪いものを注入する攻撃」を意味するのです。
では、一体どんな悪いものを注入し、具体的に何を指すのでしょうか?
早速見ていきましょー!✨

用語説明〜最速で理解したい人のためのIT用語集より抜粋〜

インジェクション攻撃(Injection Attack)・・・外部から不正な文字列を与え、悪意のあるプログラムを実行させる攻撃。

インジェクション攻撃の具体例

インジェクション攻撃では「悪意のあるコードを与える攻撃」が一般的で、具体例としては以下の3つが挙げられます。
<具体例>
・SQLを実行させデータベースの値を書き換えたり、悪意のあるデータを外部へ流出させたりする。
・PHPを実行させウイルスを忍ばせたり、会社のWEBサイトをめちゃくちゃにしたりする。
・OSコマンドを実行させ特定ユーザーの権限を昇格させたり、機密情報へのアクセス権を与えたりする。

SQLインジェクション (最も有名)

インジェクション攻撃の中で最も有名なのが「SQLインジェクション」です。
SQLとはデータの操作に使われるプログラミング言語で、データベースやサーバーなどで利用されています。
通常はWEBページに想定外の情報が入力されてもエラーを返す設計になっているのですが、システムに脆弱性があると、攻撃者がそこから悪意のあるSQL(コード)を送り込み、エラーではなくプログラムにそのまま実行させるのです。
SQLという裏側のコードを入力することで、コンピュータがそれをプログラムの一部だと解釈してしまうために、このようなことが起こってしまいます。
さらに別のケースでは、WEB上で買い物をした顧客の個人情報(クレカ, 住所など)を抜き取り、それを悪用することも考えられます。
もしサーバーごとハックされてしまえば、企業の情報が丸々盗まれてしまう可能性もゼロではないのです。
オソロシイですね・・

インジェクション攻撃からの対策

・システム/ソフトウェア/ネットワーク/モノ/ヒトに対して妥当性を判断する境界を定義し、常に検証する。(少しでも怪しいものはすべて拒否)
・妥当な値と想定される入力ミスのみをホワイトリストとして登録する。
・危険な文字をエスケープするように入力をエンコーディングする。(出力もエンコーディング)
・WAFなどのセキュリティソフトを導入する。
・言語の脆弱性を突かれないような対策をとる。

おわりに

いかがでしたでしょうか。
大規模なインジェクション攻撃などが発生してしまった場合、多額の賠償金が発生するだけでなく、企業のブランドイメージも失墜してしまいます。
事故は起きてからだとどうすることもできないので、日頃の注意がけや仕組みづくりが大事だといえますね。
この記事を通してインジェクション攻撃の理解を深めていただければ幸いです。
最後まで目を通していただきありがとうございました🙇‍♂️

参照元

.https://blog.ohgaki.net/there-are-3-types-of-injection-attack-vulnerability.
.https://www.otsuka-shokai.co.jp/words/injection-attack.html.
.https://ja.wikipedia.org/wiki/インジェクション攻撃.
.https://www.shadan-kun.com/blog/measure/5613/.

ピックアップ記事

  1. 最速で理解したい人のためのIT用語集

関連記事

  1. IT用語集

    DTM(Dynamic Tag Manager)って何?

    はじめにDTMとは、Adobeの第2世代*タグマネージャー(タグ管理…

  2. IT用語集

    パス、絶対パス、相対パス、ルートパスって何?

    はじめにパスとは簡単にいうと「特定ファイルが置いてある場所」のことで…

  3. IT用語集

    KPI、KGIって何?

    はじめに「KPI」「KGI」はPDCAと並んで用いられることが多いビ…

  4. IT用語集

    オブジェクト(Object)・オブジェクト指向(Object-Oriented)って何?

    はじめにプログラミングの勉強をするときに、必ずと言っていいほど「オブ…

  5. IT用語集

    データベース(Data Base)って何?

    はじめにデータベースって、どんなイメージですか?今回はその意味と使…

  6. IT用語集

    Macのプロキシ設定を"簡単に"解説してみた

    はじめにプロキシに限らずMacってWindowsと設定方法などが異な…

コメント

  1. この記事へのコメントはありません。

  1. この記事へのトラックバックはありません。

CAPTCHA


最近の記事

  1. 忘年会シーズンに「DCRごっこ」のご提案
  2. タグ監査ツールとは? 〜〜出来ることと導入のメリット〜〜
  3. 実はSEO以上の効果がある!?Webサイトの「監査」とは?
  4. Vertex AIのベクトル検索によってブログの検索エンジン…
  5. Google Cloud iPaaS 「Applicatio…
  1. IT用語集

    インプリ(Imple)って何?
  2. IT用語集

    プロキシ(Proxy)って何?
  3. Amazon Web Services

    System Managerを利用したVPC内Redshiftへの接続
  4. IT用語集

    クローリング(Crawling)って何?
  5. ブログ

    DirectionAPI+Tableauでドライブ時間の可視化(前編)
PAGE TOP