2018.06.28今回でSQLiがあるコンテンツを作成したいと思います。時間がかかってしまって申し訳ございません。前回動かなかった理由からいきます!なぜかというと、新しいMysqlでは「mysql_connect()」等はありません。前回エラーログを見た際に未定義の関数ですと表示されていました。php7」とかで検索すると色々出てきます。mysqlからmysqliに変更しなければなりません。以下を必死で繰り返します。(勉強会前日はこんな感じでした。修正(最初に戻る)そこで気づいたのですが、以下をインストールして、Apacheを再起動しないと有効になりませんでした。restart再起動後作成したのが以下のソースです。"ユーザ名または、パスワードに誤りがあります。href="index.html">ログイン画面に戻る</a></body></html>手続き型も混じっていてカッコ悪いですが、検証用なので、動けばOKとしましょう!さてもう一度対象にアクセスします。ユーザIDとパスワードを前回作成した内容に合わせて、「ログイン」ボタンを押します。今度はちゃんとDBから情報を取得することができました!ではSQLiがあるか見てみます。するとエラーになります。「’」が有効でエラーになってるんでしょう!(ソース見てるし。‘a’=’a」を挿入してみましょう!すると今度はエラーにはならず結果が返ってきました。これはもうSQLiが有ると判断してもいい状態ですね!(ソース見てるし。‘a’=’a」と入れてみましょう!すると今度はDBに登録されているメールアドレスが全件表示されてしまいました。Linuxのsqlmapを使用して、がっつりとDBの情報を取るのですが、それは次回にします。次回:sqlmapを使ってデータベースの中身をのぞいてみよう!皆様も手を動かして、作成してみてください。私みたいなプログラムを普段やらず、仕事ではスクリプトをちょこっと書くぐらいで、DB接続とかは全く触らない素人でも何とかなるので、是非ともチャレンジしてみてください!質問や不明点、要望等あれば、コメントやツイッター等で連絡をお願いします。LINEtokoroten0813をフォローするtokoroten0813猫とセキュリティ関連記事セキュリティtreeコマンドで定期的なファイルのチェックをする今回は少しだけ技術的な話題について記事にしてきます。個人的な見解ですが、自社や自分の管理するWebアプリケーションの管理する方法として中々良いものではないかと考えていますので、興味がある方は読んで行って貰えると嬉しいです。2019.04.10セキュリティシステム監査のお仕事について今回は先日以下の勉強会で発表した内容について記事にしてきます。勉強会に参加してきましたなお、内容についてはかなり個人的見解を含んでいますので、私の所属や特定の団体等は全く関係ありませんのであらかじめご了承ください。2019.03.09セキュリティ標的型攻撃メール訓練について1今回は前回秋葉原の勉強会で私が発表した「標的型攻撃メール訓練について」を記事にしていきます。この内容については特定の団体などに対して非難等をするものではなく、あくまで個人的な意見であることをあらかじめご了承ください。2019.04.04セキュリティCISMカンファレンスに行ってきました!昨日(2/17)に以下のCISMのカンファレンスに参加してきました。昨年度までは資格保持者でもなかったので遠慮していたのですが、今回はCISAとCISMの両方を保持しましたので、安心して参加してきました。今回は8月に以下の勉強会で発表してきた「OSコマンドインジェクション」について解説していきます。OSコマンドインジェクションは自分の管理する環境以外で実施した場合は犯罪になりますので、あらかじめご認識ください。本日(2018/11/12)に前回の徳丸日記のCSRF初級編の回答が出ていたので、このブログでも解説します。続いて、中級の問題も出ていましたが、この記事では初級編の解答のみの解説となります。内容について誤り等があれば優しく教えてくれると助かります。PMデモ環境作ってみました。PMココナツさんコメントありがとうございます。検証環境はちゃんと動きましたでしょうか?そういえばSQLインジェクションの対策やってませんでしたね。基本的にはプレースホルダを使用すればOKです。何かしらの理由があって使えなければ値のチェックを厳密にする等があります。週末に記事を準備させていただきます。PM検証環境もしっかり動きました!お忙しい中ありがとうございます!よろしくお願いいたします。PMココナツさんつたない内容ですが、記事にしてみましたのでお時間があるときにでも見てみてください。https://nekotosec.com/measures-for-sqlinjection/よろしくお願いします。コメントをキャンセルメールアドレスが公開されることはありません。コメント名前メールアドレスサイト上に表示された文字を入力してください。29tokoroten0813猫が大好きなセキュリティエンジニアです。この業界に入って8年目になりました。妻と子供が二人います。秋葉原でやっているセキュリティの勉強会に毎月参加していますので、興味がある方はご連絡ください。猫の話やセキュリティに関わる話、IT業界、育児等特にこだわりを持たずに記事にしていく予定です。現在前職を退職し、絶賛個人で活動中です。セキュリティ関連で困ったことがあれば気軽に相談いただければ喜びます。Controls7ISMS3ニュース19資格10勉強会44家庭・育児20息抜き11猫20運動4。