SQL インジェクション修正の基本

SQL インジェクションは、プログラムがデータベースへの質問文を作るとき、訪問者が入力した文字をそのまま質問文に貼り付けてしまうと起こります。訪問者は質問を途中で終わらせて、自分の質問を書き足せます。このレッスンでは、小さなお店を検索し、検索ページに見せてはいけないものを出させ、それを許している1行のコードを直し、攻撃がもう通らないことを示します。

お店の検索は Web アドレスです。curl -s で呼び出します。-G --data-urlencode は、検索する言葉をアドレスの後ろに付け、引用符や空白を安全な形に直します。pen で検索すると、Pen 1.2 の1行が出ます。商品名と値段です。

プログラムの中では、あなたの検索語は2つの引用符のあいだに貼り付けられます。検索語に引用符を入れると、その引用符で質問が早く閉じます。OR 1=1 はどの行でも成り立ちます。-- は、質問の残りをコメントにします。お店は7つの商品を表示します。その中には Staff discount card と Unreleased drone があり、売り物ではないので、表示されてはいけないものです。同じ手口で UNION SELECT を使うと、まったく別のテーブルを尋ねることもできます。お店には users テーブルがあるので、自分で試してみてください。

プログラムはコンテナの中にあり、弱い行は rows = で始まる行です。その行は + で、あなたの検索語を質問文につなげています。パラメータ化クエリ（parameterised query）は、質問文と検索語を別々にデータベースへ送ります。そのため、入力した文字は値にしかならず、質問の一部にはなりません。? が値の入る場所で、検索語はその横に渡します。手で直すには、docker exec -it app vi /tmp/app/app.py でプログラムを開き、その行を置き換えます（i で入力、Esc のあと :wq で保存）。次のコマンドは、下の行と同じ変更を代わりにしてくれます。

rows = db.execute("SELECT name, price FROM products WHERE public = 1 AND name LIKE ?", ("%" + term + "%",)).fetchall()

この変更は、その1行だけを置き換えます。お店はプログラムを起動時に一度だけ読むので、docker restart で新しい版を動かします。約10秒かかり、そのあと app と表示されます。ボックスに「まだ実行中」と出ているときは、ターミナルに app と出るのを待ってから次に進んでください。

手順2と同じ攻撃をすると、今度は何も表示されません。データベースは、名前に x' OR 1=1 -- という文字列がまるごと含まれる商品を探しましたが、ないからです。

お店が壊れる修正は、修正ではありません。lab-check は、ふつうの検索、Baker's（名前に引用符がある商品で、弱いプログラムではデータベースのエラーになりました）の検索、OR の攻撃、UNION の攻撃を試し、それぞれに PASS か FAIL を表示します。4つとも PASS で、最後の行が All checks pass. になります。ラボのバーで ラボを停止 を押し、続けて ラボを起動 を押してから、もう一度実行してください。修正は残っています。プログラムは名前付きの ボリューム（volume）にあり、プラットフォームがボリュームを保存するからです。