タグ: SQLインジェクション

phpMyAdminはオープンソースのデータベースシステムMySQLの管理用プログラムです。これ自体もオープンソースです。データテーブルの管理やデータベースの作成が知識のある人には容易にできるソフトウェアで、広く使われています。データベース付のホスティングサービスや、レンタルサーバーなどにもよく採用されています。

そのphpMyAdminに脆弱性がみつかり、開発元はアップグレードすることを呼びかけています。（ZDNet記事：phpMyAdminにパッチ：SQLインジェクション、XSSの問題を修正）

さて、アップグレードは重要ですが、その前にしておくべき対策もあります。phpMyAdminにアクセスさせないことです。いくつか、対応策をあげておきますので、アップグレードと一緒に検討してみてください。

• 面倒だからと、ID/パスワードを設定ファイルに組み込まない。（完全にインターネットから切り離された、テストや仮設定以外は、ID/PASSを毎回打ち込むようにする。パスワード保存のオプションが有っても使用しない。）
• 通信はSSLを通して行う。サーバー証明が無くても、通常のサーバーならSSL通信は可能です。ブラウザに警告文は表示されますが、例外として許可すれば可能です。
• phpMyAdmin自体をアクセス制限域におく（当然、ホームページからのリンクなどを付けてはいけません。）
• 使用しなくなったら、削除してしまう。

このブログでも、何回かとりあげたが、いろいろな方面で、SQLインジェクションという方法によるWeb改ざんが急増していることが報告されている。今度は、セキュリティソリューションサービスの株式会社ラックがそのレポート、CSL（コンピュータセキュリティ研究所）レポート「ビジネス化がさらに加速するサイバー攻撃」のなかで、これらの脅威について発表している。

要約すると以下のようになる

• グーグルの検索機能を使い脆弱性の有るサイトを見つけている
• 一連の作業はプログラムで完全に自動化されている
• SQLインジェクションを糸口に改ざんされる（データベースから公開されていないデータを取得する）
• 改ざんされるとJavaScriptプログラムが埋め込まれ、重要情報などを盗まれる

最近弊社がチェックしたサイトも、データベースを操作される可能性を残していた。別のサイトではログインの部分ですらSQLインジェクションが可能であった。

攻撃は自動化されているので、自社のサイトは有名でないから大丈夫などと考えず、チェックを行って欲しい。チェックポイントとしては

• データベースを使っていないか？
  ブログや問い合わせで使用していることがある。
• 開発を依頼した検索、登録などのフォームにSQLインジェクションの脆弱性がないか
  IPAのホームページにツールがある。あるいは、開発を依頼した先とは別の所にチェックを依頼する。
• アクセスログに異常なアクセスがないか？
  データ転送量が急に増えたり、作成していないページにアクセスがないか？

アクセスログはホームページの改善にも役立つので、ぜひ、チェックして欲しい。