このエントリでは、Time-based SQLインジェクション、すなわち時間差を利用したSQLインジェクションが意外に実用的だったという報告をします。デモ映像ありです。 はじめに Time-based SQL Injectionという攻撃があります。これはブラインドSQLインジェクションの一種で、ある条件の場合に一定時間（例えば5秒）スリープし、そうでない時との応答時間の差で情報を盗もうというものです。1回のHTTPリクエストで1ビットの情報が得られるので、それを積み重ねることによって、いくらでも情報を盗めるはずです…理論的には。 しかし、「理屈はそうでも、時間が掛かりすぎるよね」ということで、深くは追っかけていませんでした。SQLインジェクションの検査には有効でも、悪用としての実用性はあまりないと考えていたのです。 きっかけ きっかけは、以下のYahoo!知恵袋に以下の質問です。 SQL
多くの人はこうやればいいと思っているかもしれません。 java.util.Date d = new java.util.Date(); java.sql.Date d2 = new java.sql.Date(d.getTime());確かにこれでも一応変換はできますが、きちんと変換してはいません。java.sql.DateのJavadocを見るとこう書いてあります。 SQL DATE の定義に対応させるために、java.sql.Date のインスタンスでラップされたミリ秒の値は、インスタンスが関連した特定のタイムゾーンで時間、分、秒、ミリ秒をゼロに設定することで、「標準化」する必要があります。 つまり、java.util.Date#getTime()をjava.sql.Dateにただ渡すだけでは不十分で、「特定のタイムゾーンで時間、分、秒、ミリ秒をゼロに設定しなければいけない」のです。そ
入力フォーム中の全ての半角スペース' 'を全角スペース' 'に変換する処理だけでSQLインジェクションを防げますか? 無理と言う根拠は何ですか? □を全角ｽﾍﾟｰｽだとして,wikipediaの例を挙げると SELECT * FROM users WHERE name ='(入力値)'; この入力値に"t' OR 't' = 't"という文字列を入力すると,SQLｲﾝｼﾞｪｸｼｮﾝできますが この文字列中の半角ｽﾍﾟｰｽを全角ｽﾍﾟｰｽに変更すると SELECT * FROM users WHERE name = 't'□OR□'t'□=□'t'; となり,正常なSQL文ではなくなります. 私の構築した環境でこの処理を実施したところ,SQLｲﾝｼﾞｪｸｼｮﾝは出来なくなりました。
テーブル定義の変更（列の追加、変更、削除） Top ｜ Knowledge｜ DB構築｜ 文字列関数｜ 日付関数｜ 集計関数｜ SQL関数（アルファベット順） SQL（抽出・更新）｜ SQL*Plus｜ PL/SQL｜ Utility｜ Structure｜ スキーマ｜ チューニング｜ 用語｜ 参考書 ALTER TABLE （列の追加、変更、削除） カラムの追加 ／ ALTER TABLE ADD column(s) 表へカラムの追加 表定義の最後にのみ追加可能。表の途中への挿入や列の順番の変更や入れ替えはできない。表の再定義(※1)とデータの再登録を行なう必要がある。 my_table に TIMESTAMP カラム time_col を追加する。 ALTER TABLE my_table ADD ( time_col TIMESTAMP(3) ) ; my_table に仮想列 vi
■ インデックスとは データベースの世界で、インデックス(索引)とはテーブルに格納されているデータを 高速に取り出す為の仕組みを意味します。 インデックスを適切に使用することによってSQL文の応答時間が劇的に改善 される可能性があります。 インデックスにはB-Treeインデックスをはじめ、ビットマップインデックス、 関数インデックスなどの種類がありますが、ここでは最も一般的に使われ、かつ ほとんどのDBMSでサポートされているB-Treeインデックスについて解説します。 ※ CREATE INDEX文でオプションを指定しない場合は通常B-Treeインデックスが 作成されます。 ■ B-Treeインデックスのしくみ B-Tree(Balanced Tree)インデックスは次のようなツリー状の構造になっています。 ツリーの先頭はヘッダブロックと呼ばれています。ヘッダブロックでは、キー値の 範囲
おら! オラ! Oracle - どっぷり検証生活 メールマガジン登録/解除 このメールマガジンを購読される方、または購読を解除される方は、画面左の登録/解除フォームにメールアドレスを入力して下さい。 ※このメールマガジンはまぐまぐからの配信となります。 バックナンバー
2024-12-04 osqledit ver.10.4.1.7 リリース 2017-01-26 osqledit ver.9.6.7.2 リリース 2024-09-15 osqlgrid ver.6.4.0.9 リリース 2016-05-08 osqlgrid ver.5.2.7.1 リリース 2021-05-31 oedit ver.8.1.0.2 リリース 2021-11-16 otbedit ver.7.1.0.3 リリース 2024-11-30 psqledit ver5.4.0.5 リリース 2017-08-27 psqledit ver4.0.4.1 リリース 2024-02-25 psqlgrid ver4.4.0.4 リリース 2018-02-03 psqlgrid ver3.0.0.2 リリース 2010-10-05 osqledit ver.8.1.6.1 リリース
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く