Web インジェクションとは - ものづくりのブログ

Web インジェクションについて調べてみました。

Webインジェクション（Web Injection）は、悪意のあるデータをWebアプリケーションに注入し、意図しない動作を引き起こす攻撃手法の総称です。特にユーザー入力を適切に検証・エスケープしていないアプリケーションが標的になりやすく、データベースやシステムを不正に操作される可能性があります。

データベースとやり取りするWebアプリケーションの脆弱性を利用し、不正なSQLクエリを実行する攻撃です。

ユーザー認証を回避する攻撃

' OR '1'='1'; --

ユーザー情報を閲覧する攻撃

SELECT * FROM users WHERE username = 'admin' AND password = '' OR '1'='1';

JavaScript などのスクリプトを Web ページに埋め込み、ユーザーのブラウザで実行させる攻撃です。

フォームの入力欄に悪意のあるスクリプトを埋め込む。

<script>alert('Hacked!');</script>

OS コマンドを不正に実行させる攻撃です。

フォームに以下のような入力をしてシステムを操作します。

; rm -rf /

シェルコマンドを不正に実行させる攻撃です。

curl "http://example.com?param=; rm -rf /"

HTTPレスポンスヘッダーを改ざんし、リダイレクトや不正なレスポンスを返す攻撃です。

フィッシングサイトへ誘導される可能性がある。

HTTP/1.1 200 OK
Content-Type: text/html
Set-Cookie: session=xyz; Path=/; HttpOnly
Location: http://malicious-site.com