インジェクション攻撃

インジェクション攻撃とはサイバー攻撃の一種で、攻撃者がサーバに対して、データベースを操作するSQL文やコマンド、JavaScriptといったスクリプト文を送り、想定外の動きを起こしたりシステムを抜き取ったりする攻撃のことです。

特に、ショッピングサイトやブログ、SNS、掲示板といった、ユーザーの入力情報を動的にページに表示するタイプのWEBサイトが攻撃対象となりやすい傾向があります。

インジェクション攻撃の中でも特に有名なのが、入力フォームのあるWEBサーバに対して行われる「SQLインジェクション」です。この攻撃では、サーバのバックグラウンドで動くデータベースから目的のデータを抜き取るためにSQL文を使用します。

攻撃者がWEBサーバの入力フォームに不正処理を実行させるSQL文を入力し、それをサーバが読み込むことで攻撃が実行され、データベースに登録してある内容が盗まれたり改ざんされたりします。

また、たとえWEBサイトに入力フォームがなくても攻撃される場合があり、不正なコードをURLのパラメーターとして加え、WEBサーバに送信することで攻撃が実行されます。

インジェクション攻撃には、入力データを厳しくチェックしたり、入力したデータに含まれるコードを読み取られないようにするといった対策が必要です。

​









​