SQLインジェクション(エスキューエルインジェクション)とは | 意味や読み方など丁寧でわかりやすい用語解説

SQLインジェクションとは、Webアプリケーションがデータベースへの問い合わせ（SQLクエリ）を生成する際に、ユーザーからの入力を適切に処理しない脆弱性を悪用し、悪意のあるSQLコードを送りつける攻撃手法である。これにより、攻撃者はデータベースから機密情報を窃取したり、データを改ざん・削除したり、あるいはシステムを乗っ取ったりすることが可能となる。

現代のWebアプリケーションは、ユーザーが入力した情報に基づいて、データベースからデータを取得したり、更新したりする機能を多く備えている。このデータベースを操作するための共通言語が「SQL（Structured Query Language）」である。例えば、ユーザーがWebサイトのログインフォームにIDとパスワードを入力すると、Webアプリケーションはこれらの情報を受け取り、「このIDとパスワードの組み合わせがデータベースに存在するかどうか」をSQLを使ってデータベースに問い合わせる。

SQLインジェクションは、この問い合わせを生成する過程で発生する脆弱性である。Webアプリケーション開発者が、ユーザーからの入力値をそのまま、あるいは不適切に処理してSQLクエリの一部として連結してしまうと、攻撃者は入力欄に通常のデータではなく、自身の意図したSQLコマンドの一部や全く別のSQL文を紛れ込ませる（インジェクトする）ことができる。

具体的な例を挙げる。あるWebアプリケーションが、ユーザー名とパスワードを受け取り、次のようなSQLクエリを生成してデータベースに問い合わせると仮定する。 SELECT * FROM users WHERE username = '入力されたユーザー名' AND password = '入力されたパスワード'; もし攻撃者がユーザー名入力欄に ' OR '1'='1 -- と入力し、パスワード欄には適当な値を入力した場合、生成されるSQLクエリは次のようになる。 SELECT * FROM users WHERE username = '' OR '1'='1' -- AND password = '適当なパスワード'; このクエリでは、username = '' の条件は偽となるが、'1'='1' の部分は常に真であるため、OR 結合によってWHERE句全体が真と評価される。さらに、--（ハイフン2つ）以降はSQLのコメントとして扱われるため、本来のパスワードの条件が無視される。結果として、パスワードが何であっても、データベースの最初のユーザー情報（多くの場合、管理者アカウント）が取得され、攻撃者は認証を回避してログインできてしまう可能性がある。

SQLインジェクションによって引き起こされる被害は多岐にわたる。最も一般的なのは、上記のような認証回避による不正ログインである。これにより、攻撃者は管理者権限を奪取し、システム全体を乗っ取ることが可能になる。次に、データベースに保存されている機密情報の窃取である。顧客の個人情報、クレジットカード番号、パスワードのハッシュ値、企業秘密などが攻撃者の手に渡る危険性がある。また、攻撃者はデータベースのデータを改ざんしたり、重要なデータを削除したりすることもできるため、Webサイトのコンテンツが書き換えられたり、業務が停止したり、企業の信用が失墜したりする可能性がある。さらに高度な攻撃では、データベースサーバー上でOSコマンドを実行させ、サーバー自体を乗っ取る試みも存在する。これにより、マルウェアの埋め込みや、そのサーバーを他のシステムへの攻撃の踏み台にされるなど、より深刻な被害に発展する可能性もある。

SQLインジェクションを防ぐための対策はいくつか存在するが、最も効果的で推奨されるのは「プリペアドステートメント（Prepared Statement）」や「プレースホルダ」の利用である。これは、SQLクエリのテンプレートを事前に定義しておき、後からユーザー入力値をデータとしてバインド（結合）する手法である。この方式では、ユーザー入力値がSQLコードの一部としてではなく、単なるデータとして扱われるため、たとえ悪意のあるコードが入力されても、それはデータとして処理され、SQL文として実行されることはない。これにより、攻撃者の意図するSQLコードがデータベースに実行されることを防ぐ。

その他にも、入力値の厳密な検証（バリデーション）が重要である。Webアプリケーションは、想定される文字種、文字数、フォーマットに合致するかを厳しくチェックし、不正な入力は受け付けないようにするべきである。また、データベースの種類に応じて、SQL特殊文字をエスケープ処理することも有効な対策となる。エラーメッセージの表示方法にも注意が必要である。詳細なエラーメッセージは攻撃者にシステムの構造や脆弱性のヒントを与えてしまう可能性があるため、本番環境では抽象的なエラーメッセージのみを表示するようにすべきである。さらに、データベースユーザーには必要最小限の権限のみを付与する「最小権限の原則」を徹底することも、万が一SQLインジェクションが成功してしまった際の被害を局所化するために極めて重要となる。これらの対策を組み合わせることで、SQLインジェクションのリスクを大幅に低減し、Webアプリケーションの安全性を高めることができる。