英語でOracle!

今日はDonald Burlesonさんの運営する
コンサルティング会社のページをご紹介します。

OracleについてGoogleで調べたことのある方は
この叔父様に既に遭遇している可能性が高いのではないでしょうか。

http://www.dba-oracle.com/resume_don.htm


少なくとも彼の30冊以上に及ぶ著作を書店で
見かけたことはあると思います。

膨大な彼の記事の中から、今回はWeb Applicationの脆弱性に
注意を呼びかけている記事をご紹介します。

記事の内容自体はSQL Injectionに関する話題なので
既にご存知の方は多いかと思いますが、
面白いのは、SQL Injectionを利用してHackingしている
映像が生々しく紹介されていることです。

なんとNorthwestern Universityのユーザ専用ページに浸入しています。

■ Burleson Consulting
http://www.dba-oracle.com/

■ 引用ページ
http://www.dba-oracle.com/t_sql_injection_attacks.htm

＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣
記事本文
＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣
◆ Oracle SQL Injection Attacks

This scary must-see video that shows a real-world
SQL injection attack and it's frightening how fast
they can break into a allegedly secure database.
It's even more frightening that someone would
publish step-by-step instructions where the
criminals can see them.

＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣
英語の語順に近い解釈
＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣
◆ Oracle SQL Injection Attacks
Oracle SQL注射攻撃

This scary must-see video
この恐ろしい必見のビデオ

that shows a real-world SQL injection attack
それは現実世界のSQL injection attackを表現しています。

and it's frightening
そしてそれは恐ろしいです

how fast they can break into a allegedly secure database.
どれだけ早く彼らが侵入できるか、セキュアだと思われているDBに

It's even more frightening
さらに恐ろしいことに

that someone would publish step-by-step instructions
誰かが発行することです 詳細な手順説明を、

where the criminals can see them.
犯人がそれらを参照可能な場所に

＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣
単語解説
＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣

Injection = 注射、注入
scary = 恐ろしい
must-see = 必見の
frightening = 恐ろしい
allegedly = 証拠なしに主張されている
secure = 安全な
step-by-step = １つ１つ順を追った
instruction = 教えること
criminal = 犯人

＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣
解説
＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿＿
￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣￣
SQL InjectionとはWEBページ上のパスワード欄などに
パスワードと見せかけたSQLの条件文などを組み込むことで
Application誤動作を誘う手法です。

例えばパスワード欄に「aaaaa' or '1'='1」と入れた時に
WEBアプリのSQLが単純に
select * from gokuhi_table where user='&user' and pass='&pass';
となっていたらどうなるでしょうか。
select * from gokuhi_table where user='yakusa' and pass='aaaaa' or '1'='1';
全てのデータにアクセスできてしまうのです。

既に５年以上前から警告は続いていますが、
未だに対策が施されていないWEBアプリはたくさんあるそうです。
対策方法としては、パスワード指定内容に「=」や「'」が
含まれていないかチェックしたり、
実際のパスワードは変換を施して格納しておき、
比較する際もWEBから入力された内容を変換してから比較するなど
一工夫するだけで安全性は飛躍すると思います。

ちなみにこれはWEBだけでなく、ユーザからの入力内容が
検索条件につながるアプリケーション全てに共通する考慮事項ですね。
WEBよりは減るかもしれませんが、昨今は社内にだって
悪意のあるアクセスするないとは限りません。

このセキュリティホールはOracleのパッチをいくら
最新にしても改善されないものなので、
みなさんも自分の開発したアプリが原因でWEBサイトを
閉鎖に追い込んだり、個人情報流出の元凶になったり
するような自体だけは避けるように気をつけましょう。

Posted by yaksa on 20061107 at 12:08 午前 | Permalink