SQLインジェクション

Webアプリケーションの入力欄に不正なSQL文を挿入し、データベースを不正に操作する攻撃手法。情報の漏えいや改ざん、データの削除などを引き起こす。

Webアプリケーションの入力フォームなどからSQL文を挿入し、データベースを不正に操作する攻撃。データの漏えい、改ざん、削除などの被害をもたらす。入力値のバリデーションやプレースホルダの使用で対策する。

Webアプリケーションの入力フォームなどに不正なSQL文を注入し、データベースを不正に操作する攻撃手法。データの窃取、改ざん、削除、認証回避などの被害を引き起こす。プレースホルダの使用やエスケープ処理で対策する。

Webアプリケーションの入力値にSQL文の断片を挿入し、意図しないSQL文をデータベースに実行させる攻撃手法。データの不正取得、改ざん、削除が可能になる。プレースホルダ（バインド変数）の使用やエスケープ処理が主な対策。

Webアプリケーションなどの入力フォームに不正なSQL文を挿入し、データベースを不正に操作する攻撃手法。バインド変数（プレースホルダ）の使用、入力値の検証、最小権限の原則の適用などで対策する。

Webアプリケーションの入力値を通じて不正なSQL文を挿入・実行させる攻撃手法。データの不正取得、改ざん、削除などが可能になる。対策としてプレースホルダ（バインド機構）の使用、入力値の検証、エスケープ処理、最小権限のDBアカウント使用がある。

Webアプリケーションの入力欄などにSQL文の一部となる文字列を入力し、アプリケーションが組み立てるSQL文の意味を変えて、データベースの不正な参照、改ざん、削除を行う攻撃。プレースホルダを使ってSQL文を組み立てることが根本的な対策である。

Webアプリケーションの脆弱性を利用して、悪意のあるスクリプトをWebページに埋め込む攻撃。反射型、格納型、DOMベースの3種類がある。対策として出力時のHTMLエスケープ、Content-Security-Policy（CSP）ヘッダの設定、入力値の検証がある。

ログイン状態の利用者に罠のページを踏ませ、本人の意図しない更新要求を正規サイトへ送らせる攻撃。ブラウザが自動送信するCookieを悪用する。要求ごとに推測困難なトークンを埋め込み照合することで防止する。

透明化した正規サイトのページを罠ページに重ね、利用者が別のものをクリックしたつもりで正規サイトの操作を実行させる攻撃。X-Frame-OptionsやCSPのframe-ancestorsで、他サイトからのフレーム埋込みを禁止して防ぐ。

改ざんされたWebサイトを閲覧しただけで、ブラウザやプラグインの脆弱性を突いてマルウェアを自動的にダウンロード・実行させる攻撃。利用者の操作を必要としないため気付かれにくく、閲覧環境の更新が主要な対策となる。

Webアプリケーションの入力値がOSのシェルへ渡される箇所に、区切り記号と任意のコマンドを紛れ込ませて実行させる攻撃。サーバの乗っ取りに直結する。シェル経由の外部プログラム呼出しを避け、入力値を検証することで防ぐ。

ファイル名を指定するパラメータに「../」などの相対パスを混ぜ、公開範囲外のファイルを読み出させる攻撃。パスワードファイルや設定ファイルの窃取につながる。ファイル名を直接受け取らない設計や絶対パスの正規化で防ぐ。