【目次】
まとめ記事
【SQL Injection・まとめ】
◆ブラインドSQLインジェクション (まとめ)
https://malware-log.hatenablog.com/entry/Blind_SQL_Injection
概要
【辞書】
◆SQLインジェクション (Wikipedia)
https://ja.wikipedia.org/wiki/SQL%E3%82%A4%E3%83%B3%E3%82%B8%E3%82%A7%E3%82%AF%E3%82%B7%E3%83%A7%E3%83%B3
◆SQLインジェクション (Deloitte)
https://www2.deloitte.com/jp/ja/pages/technology/articles/cyb/glossary/glosarry-sql-injection.html
◆SQLインジェクション (@IT(ITmedia))
https://atmarkit.itmedia.co.jp/ait/articles/0401/01/news017.html
【概要】
■文字列定数の終端方法
| 記号 | シチュエーション |
|---|---|
| ' | 検索式に「 ' 」が使用されている場合 |
| " | 検索式「 " 」が使用されている場合 |
■検索条件の終了・追加方法
| 記号 | 意味 |
|---|---|
| -- | 以降の内容をコメントとして無視させる |
| ; | マルチプルステートメント |
| UNION | SELECT句を追加 |
◇テーブル・カラム定義の読み出し
| DB種別 | 読み出し方法 |
|---|---|
| ORACLE | ' UNION SELECT table_name, column_name FROM user_tab_columns-- |
| SQL Server | ' UNION SELECT t.name, c.name FROM sysobjects t, syscolumns c WHERE t.id=c.id-- |
【最新情報】
◆Defending new vectors: Threat actors attempt SQL Server to cloud lateral movement (Microsoft, 2023/10/03)
[新たなベクトルの防御: 脅威者はSQL Serverからクラウドへの横移動を試みる]
https://www.microsoft.com/en-us/security/blog/2023/10/03/defending-new-vectors-threat-actors-attempt-sql-server-to-cloud-lateral-movement/
⇒ https://malware-log.hatenablog.com/entry/2023/10/03/000000_1
◆Microsoft: Hackers target Azure cloud VMs via breached SQL servers (BleepingComputer, 2023/10/04 10:53)
[マイクロソフト ハッカー、侵入したSQLサーバー経由でAzureクラウドVMを狙う]
https://www.bleepingcomputer.com/news/security/microsoft-hackers-target-azure-cloud-vms-via-breached-sql-servers/
⇒ https://malware-log.hatenablog.com/entry/2023/10/04/000000
記事
【ニュース】
■2005年
◆カカクコム、不正アクセスでサイト閉鎖 (CNet, 2005/05/16 11:02)
https://japan.cnet.com/article/20083537/?tag=cleaf_relstory_manual
⇒ https://malware-log.hatenablog.com/entry/2005/05/16/000000
◆カカクコム緊急会見、「1週間後に復旧目指す」--手口と影響は調査中 (CNet, 2005/05/16 21:46)
https://japan.cnet.com/article/20083569/?tag=cleaf_relstory_manual
⇒ https://malware-log.hatenablog.com/entry/2005/05/16/000000_1
◆人ごとではない価格.comのサイバーテロ (CNet, 2005/05/24 11:37)
https://japan.cnet.com/article/20083795/?tag=cleaf_relstory_manual
⇒ https://malware-log.hatenablog.com/entry/2005/05/16/000000
◆価格.com閉鎖の原因と対策は非公開--メールアドレス詐取の補償なし (CNet, 2005/05/25 22:08)
https://japan.cnet.com/article/20083873/?tag=cleaf_relstory_manual
⇒ https://malware-log.hatenablog.com/entry/2005/05/25/000000_1
◆またもや不正アクセスでサイトが閉鎖--今度はオズモール (CNet, 2005/05/27 15:54)
https://japan.cnet.com/article/20083946/?tag=cleaf_relstory_manual
⇒ https://malware-log.hatenablog.com/entry/2005/05/27/000000
◆オズモールの不正アクセスでもウイルス発覚--原因はSQLインジェクションか (CNet, 2005/05/30 21:24)
https://japan.cnet.com/article/20083999/?tag=cleaf_relstory_manual
⇒ https://malware-log.hatenablog.com/entry/2005/05/30/000000
◆クラブツーリズムの不正アクセス事件、容疑者が逮捕--価格.com事件にも関与か (CNet, 2005/07/06 11:53)
https://japan.cnet.com/article/20085051/
⇒ https://malware-log.hatenablog.com/entry/2005/07/06/000000_1
■2013年
◆被害数百億円、米史上最大のハッキング １億６千万枚の情報盗む (産経新聞, 2013/07/26 14:26)
http://sankei.jp.msn.com/world/news/130726/amr13072614270008-n1.htm
⇒ https://malware-log.hatenablog.com/entry/2013/07/26/000000_9
◆１億６０００万枚のカードデータ盗んだハッカー団摘発 米 (CNN, 2013/07/26 11:26)
http://www.cnn.co.jp/tech/35035164.html
⇒ https://malware-log.hatenablog.com/entry/2013/07/26/000000_8
◆米史上最大のサイバー詐欺摘発、被害総額は300億円以上 (ロイター, 2013/07/26 09:43)
http://jp.reuters.com/article/topNews/idJPTYE96P00R20130726
⇒ https://malware-log.hatenablog.com/entry/2013/07/26/000000_7
◆米検察、ナスダックなどへのハッカーグループを起訴 (WSJ, 2013/07/26 08:58)
http://jp.wsj.com/article/SB10001424127887323471504578628411084584832.html?mod=googlenews_wsjja
⇒ https://malware-log.hatenablog.com/entry/2013/07/26/000000_6
◆世界の大手企業に不正アクセスした犯人、1億6000万件のクレジットカード情報を盗む (ITmedia, 2013/07/26 07:43)
訴追された男5人は米NASDAQや7-Elevenといった大手企業のネットワークにSQLインジェクション攻撃を仕掛けて不正侵入し、マルウェアを仕込んで情報を盗んだとされる
http://www.itmedia.co.jp/enterprise/articles/1307/26/news032.html
⇒ https://malware-log.hatenablog.com/entry/2013/07/26/000000_5
◆エアガン販売サイトからカード情報417件流出の可能性、原因はSQLインジェクション (ITPro, 2013/09/12)
http://itpro.nikkeibp.co.jp/article/NEWS/20130912/504367/?top_tl1
⇒ https://malware-log.hatenablog.com/entry/2013/09/12/000000_4
◆エアガン通販サイトに不正アクセス - クレカ情報417件流出 (SEcurity NEXT, 2013/09/13)
http://www.security-next.com/043091
⇒ https://malware-log.hatenablog.com/entry/2013/09/13/000000_2
■2015年
◆シャトレーゼにSQLインジェクション攻撃、Web会員情報約21万人分流出の可能性 (ITPro, 2015/07/30)
http://itpro.nikkeibp.co.jp/atcl/news/15/073002537/
⇒ https://malware-log.hatenablog.com/entry/2015/07/30/000000_5
◆「シャトレーゼ」２１万人分の情報流出か (読売新聞, 2015/07/30 17:27)
http://www.yomiuri.co.jp/national/20150730-OYT1T50089.html?from=ycont_latest
⇒ https://malware-log.hatenablog.com/entry/2015/07/30/000000_4
■2016年
◆11月は脆弱性攻撃が大幅減、危険なSQLインジェクションに注意 - ペンタ (マイナビニュース, 2016/01/12)
http://news.mynavi.jp/news/2016/01/12/419/
⇒ https://malware-log.hatenablog.com/entry/2016/01/12/000000_5
■2017年
◆ロジネットジャパン／札幌通運の旅行代理業での個人情報漏えいで観光庁に報告書 (LNEWS, 2016/06/24)
http://lnews.jp/2016/06/i062410.html
⇒ https://malware-log.hatenablog.com/entry/2016/06/24/000000_9
◆IPA、Webサイトの脆弱性点検を呼び掛け 中国サイトに約400件の情報登録 (ITmedia, 2017/01/25 16:40)
SQLインジェクションの脆弱性が存在する約400サイトの情報が中国のポータルサイトに登録されていたといい、悪用の恐れもあることから緊急点検や改修の実施を呼び掛けている
http://www.itmedia.co.jp/enterprise/articles/1701/25/news107.html
⇒ https://malware-log.hatenablog.com/entry/2017/01/25/000000_9
◆SQLインジェクションの脆弱性がある日本のサイト400件の情報が中国サイトに投稿されていたことが判明、IPAが注意喚起 (Internet Watch, 2017/01/26 06:00)
http://internet.watch.impress.co.jp/docs/news/1040843.html
⇒ https://malware-log.hatenablog.com/entry/2017/01/26/000000_7
◆「SQLi攻撃」で最大13万件の顧客情報が流出 - 日販グループ会社 (Security NEXT, 2017/02/14)
http://www.security-next.com/078416
⇒ https://malware-log.hatenablog.com/entry/2017/02/14/000000
◆ジャパン・フード＆リカー、子会社の通販サイトで個人情報が流出の恐れ (Market Newsline, 2017/04/13 18:19)
http://marketnewsline.com/news/201704131819000000.html
⇒ https://malware-log.hatenablog.com/entry/2017/04/13/000000_1
◆不正アクセスで顧客情報4.9万人流出の可能性 - 東商マート (Security NEXT, 2017/04/14)
http://www.security-next.com/080702
⇒ https://malware-log.hatenablog.com/entry/2017/04/13/000000_1
◆ネットスーパーに不正アクセス、個人情報約5万件が流出か (ASCII.jp, 2017/04/14 09:31)
http://ascii.jp/elem/000/001/469/1469181/
⇒ https://malware-log.hatenablog.com/entry/2017/04/13/000000_1
■2018年
◆「プレミアム・アウトレット」からの流出データ、5カ所で公開を確認 (Security NEXT, 2018/06/07)
http://www.security-next.com/094176
⇒ https://malware-log.hatenablog.com/entry/2018/06/07/000000_3
■2019年
◆つり番組サイトに不正アクセス - 「脆弱性診断ツール」を悪用か (Security NEXT, 2019/01/25)
http://www.security-next.com/102017
⇒ https://malware-log.hatenablog.com/entry/2019/01/25/000000_6
■2020年
◆レンサバで運営されるウェブへの攻撃、約半数が「SQLi」 (Security NEXT, 2020/03/06)
http://www.security-next.com/112808
⇒ https://malware-log.hatenablog.com/entry/2020/03/06/000000
◆人材派遣のアスカが最大3万件の個人情報を流出…1カ月以上も周知せず (Blogos, 2020/07/13 08:58)
https://blogos.com/article/470939/
⇒ https://malware-log.hatenablog.com/entry/2020/07/13/000000
■2021年
◆サンリオ子会社に不正アクセス、メアド4万6000件流出か SQLインジェクション攻撃で (ITmedia, 2021/06/08 11:25)
https://www.itmedia.co.jp/news/articles/2106/08/news092.html
⇒ https://malware-log.hatenablog.com/entry/2021/06/08/000000_1
◆顧客アカウント情報が外部流出、SQLi攻撃で - 日本ケミカルデータベース (Security NEXT, 2021/07/20)
https://www.security-next.com/128158
⇒ https://malware-log.hatenablog.com/entry/2021/07/20/000000_10
◆SQLi攻撃で顧客のメールアドレスが流出 - ロゴヴィスタ (Security NEXT, 2021/09/27)
https://www.security-next.com/130168
⇒ https://malware-log.hatenablog.com/entry/2021/09/27/000000
■2022年
◆サーバにSQLi攻撃、会員メアドが流出か - イシバシ楽器 (Security NEXT, 2022/01/13)
https://www.security-next.com/133215
⇒ https://malware-log.hatenablog.com/entry/2022/01/13/000000
◆日能研に不正アクセス、メールアドレス28万件流出か SQLインジェクション攻撃で (ITmedia, 2022/01/31 11:30)
https://www.itmedia.co.jp/news/articles/2201/31/news108.html
⇒ https://malware-log.hatenablog.com/entry/2022/01/31/000000
◆名古屋大学に不正アクセス 「ブラインドSQLインジェクション」攻撃でメアド2086件漏えいか (ITmedia, 2022/06/28 18:00)
https://www.itmedia.co.jp/news/articles/2206/28/news190.html
⇒ https://malware-log.hatenablog.com/entry/2022/06/28/000000
◆資格検定申込サイトへSQLi攻撃 - メアド流出の可能性 (Security NEXT, 2022/08/04)
https://www.security-next.com/138605
⇒ https://malware-log.hatenablog.com/entry/2022/08/04/000000
◆ロシアからのSQLインジェクションが急増 9月4日だけ平均の3倍 (ITmedia, 2022/09/13 13:30)
https://www.itmedia.co.jp/news/articles/2209/13/news136.html
⇒ https://malware-log.hatenablog.com/entry/2022/09/13/000000_3
■2023年
◆企業は1秒間に17回ものサイバー攻撃を検知、SQL injection被害が増加傾向 (マイナビニュース, 2023/02/21 17:49)
https://news.mynavi.jp/techplus/article/20230221-2598680/
⇒ https://malware-log.hatenablog.com/entry/2023/02/21/000000_1
◆Webアプリケーションを狙った攻撃が増加傾向、SQLインジェクションに注意 (マイナビニュース, 2023/05/23 15:56)
https://news.mynavi.jp/techplus/article/20230523-2685982/
⇒ https://malware-log.hatenablog.com/entry/2023/05/23/000000_3
◆Microsoft: Hackers target Azure cloud VMs via breached SQL servers (BleepingComputer, 2023/10/04 10:53)
[マイクロソフト ハッカー、侵入したSQLサーバー経由でAzureクラウドVMを狙う]
https://www.bleepingcomputer.com/news/security/microsoft-hackers-target-azure-cloud-vms-via-breached-sql-servers/
⇒ https://malware-log.hatenablog.com/entry/2023/10/04/000000
【ブログ】
◆Defending new vectors: Threat actors attempt SQL Server to cloud lateral movement (Microsoft, 2023/10/03)
[新たなベクトルの防御: 脅威者はSQL Serverからクラウドへの横移動を試みる]
https://www.microsoft.com/en-us/security/blog/2023/10/03/defending-new-vectors-threat-actors-attempt-sql-server-to-cloud-lateral-movement/
⇒ https://malware-log.hatenablog.com/entry/2023/10/03/000000_1
【公開情報】
◆脆弱なWebアプリケーション 第５回：インジェクション攻撃 (セントラル・コンピュータ・サービス 長谷川 武, 2005/05/25)
https://thinkit.co.jp/free/tech/7/5/1.html
⇒ https://malware-log.hatenablog.com/entry/2005/05/25/000000_2
