「Cookieを使用したSQLインジェクション」記事へのコメント

PHP?

[127.0.0.1 (33105)]

LACのレポートでは、

> （Cookieにてパラメータを受け取れるフレームワークは
> IIS/ASP/ASP.NET以外にPHPも同様と確認していますが、
> 現時点では他のフレームワークの状況は当研究所では未確認です。）

とありますが、実際のところPHPはどうなんですかね?

#自分で確認したいけど今忙しいので!

Re:PHP?

[a-yasui (30289)]

セッション情報をDBに保存する仕組みの所はヤバいかもなぁ、とここ数年さわってないけど言ってみるテスト。

＃確かに、Sessionはテイントチェックしてなかった気がする。前のバイト先のプログラムをうすらぼんやり思い出してみると。

Re:

[Anonymous Coward]

＞セッション情報をDBに保存する仕組みの所はヤバいかもなぁ

いや、それぜんぜん今回の問題に関係ないでしょ。

Re:PHP?

[__hage (7886)]

そのセッション情報をユーザーと(厳密にはユーザの使っているブラウザのプロセスと)結びつけるためにcookieを利用する手法が今は一般的です。なので今回の話に大いに関係があります。勿論これだけに限った話ではないですが、無関係と言い切れるほど関係のない話ではありません。

Re:

[Anonymous Coward]

そのセッション情報をユーザーと結びつけるためにcookieを利用する手法が今は一般的です。

「今は」どころか昔から当然。

なので今回の話に大いに関係があります。

ぜんぜん関係ない。

勿論これだけに限った話ではないですが、無関係と言い切れるほど関係のない話ではありません。

無関係。「言い切れるほどではない」などという表現を使ってる時点で無意味な発言だと気付こう。

Re:

[Anonymous Coward]

PC用WebブラウザをターゲットとしたWebアプリの場合、セッションIDはCookieで特定しているケースが多いので

・CookieにSQLインジェクションの攻撃コードがある
・Cookieの内容(=セッションID)をDBに保存する
・DB保存のコードにSQLインジェクション脆弱性があるとSQLインジェクションが成功

ということでSQLインジェクションが発生しやすくなりますね。
今回のケースはASPのRequest()で書いたコードが引っかかる可能性が高そうなのですが、あちこちにバラまいたコードを修正する、という意味ではSQLインジェクション対策とどっちがマシか状態になるかもしれません。

Re:

[Anonymous Coward]

• CookieにSQLインジェクションの攻撃コードがある
• Cookieの内容(=セッションID)をDBに保存する
• DB保存のコードにSQLインジェクション脆弱性があるとSQLインジェクションが成功

ということでSQLインジェクションが発生しやすくなりますね。

ならねーよ。元記事読んで来い。

Re:

[Anonymous Coward]

PHPも同様です。