徳丸先生に怒られない、動的SQLの安全な組み立て方

1. 徳丸先生に怒られない動的SQLの安全な組み立て方 Makoto Kuwata http://www.kuwata-lab.com/ PHP Conference 2015 ver 1.1.0

3. copyright 2015 kuwata-lab.com all rights reserved.© 発表の背景：裁判と損害賠償引用： http://blog.tokumaru.org/2015/01/sql.html SQLインジェクション脆弱性が原因でクレジットカード情報が漏洩した事件につき、ショップ側が  開発会社を相手取り損害賠償請求の裁判を起こし、ショップ側が勝訴結果、3131万9568円の損害を認定し、その3割を  控除して、2262万3697円の損害賠償をY社に  命じた

8. なぜSQL Injection が発生するのか？

11. copyright 2015 kuwata-lab.com all rights reserved.© プレースホルダを使っててもSQLi $sql = "select * from users" . " where deleted_at is null"; $vars = []; if ($max_age) { $sql .= " and age <= :max_age"; $vars['max_age'] = $max_age; } if ($min_age) { $sql .= " and age >= ".$min_age; $vars['min_age'] = $min_age; } プレースホルダを使っているただの文字列連結! SQLi!

14. copyright 2015 kuwata-lab.com all rights reserved.© なぜ文字列結合でSQLを作るのか？プレースホルダではできないことがあるから要素数が動的に変わる in (....) 、order by でのカラム名指定真の原因その2 // SQLを文字列で渡せてしまえるんだから、 // SQLを文字列結合で組み立ててしまうのは当然のこと $st = pdo->prepare("select * from users"); SQLを文字列で指定できてしまうから

17. copyright 2015 kuwata-lab.com all rights reserved.© ここまでのまとめ SQLを文字列連結で組み立てるから、  SQL Injection が発生する対策：文字列連結ではない方法でSQLを組み立てる生のSQLを文字列で渡せてしまうから、  文字列連結を使ってしまう対策：生のSQLを渡すかわりに別の方法でSQLを指定する本質的にはAPIやインターフェースの欠陥結果はセキュリティ被害だけど、原因はセキュリティとは違う

18. SQLテンプレート

19. copyright 2015 kuwata-lab.com all rights reserved.© SQLテンプレートとは？ SQLを生成するためのテンプレート WebアプリでのHTMLテンプレートと同じ SQL Injection が発生しない（原理上は）文字列連結が不可、値のエスケープ or プレースホルダを強制注：内部の実装では文字列連結を使うが、開発者が明示的に使うことはできない。

20. copyright 2015 kuwata-lab.com all rights reserved.© サンプル：SQLテンプレート /* 年齢の上限/下限が指定されたら、検索条件を追加 */ select * from users where deleted_at is null -- #if :max_age and age <= :max_age -- #end -- #if :min_age and age >= :min_age -- #end

21. copyright 2015 kuwata-lab.com all rights reserved.© サンプル：PHPコードへ変換 /* 年齢の上限/下限が指定されたら、検索条件を追加 */ select * from users where deleted_at is null <?php if ($vars['max_age']) { ?> and age <= :max_age <?php } ?> <?php if ($vars['min_age']) { ?> and age >= :min_age <?php } ?> 注：実際はもう少し複雑なコードに変換される

24. copyright 2015 kuwata-lab.com all rights reserved.© SQLTempl8：SQLを生成 1: <?php 2: require_once 'sqltempl8.php'; 3: $t = new SQLTempl8("sql/users.sql"); 4: $vars = array('min_age'=>20); 5: $sql = $t->render($vars); 6: echo $sql; //=> select * from users // where deleted_at is null // and age >= :min_age

25. copyright 2015 kuwata-lab.com all rights reserved.© SQLTempl8：SQLを実行 1: <?php 2: require_once 'sqltempl8.php'; 3: $t = new SQLTempl8("sql/users.sql"); 4: $vars = array('min_age'=>20); 5: $pdo_conn = new PDO("....."); 6: $pdo_stmt = $t->execute($pdo_conn, $vars); 7: if ($pdo_stmt !== null) { 8: foreach ($pdo_stmt as $row) { ... } 9: }

26. copyright 2015 kuwata-lab.com all rights reserved.© なぜSQL Injectionが発生しないの？ // SQLテンプレート select * from users where deleted_at is null -- #if :max_age and age <= :max_age -- #end -- #if :min_age and age >= :min_age -- #end 文字列連結が書けない (文法が極めて限定的) 変数値が埋め込めない (プレースホルダを強制)

27. copyright 2015 kuwata-lab.com all rights reserved.© なぜSQL Injectionが発生しないの？ // メインプログラム <?php require_once 'sqltempl8.php'; $t = new SQLTempl8("sql/users.sql"); $vars = array('min_age'=>20); $pdo_conn = new PDO("....."); $pdo_stmt = $t->execute($pdo_conn, $vars); if ($pdo_stmt !== null) { foreach ($pdo_stmt as $row) { ... } } SQL IDとしてテンプレートのファイル名を指定 (生のSQLを指定しない)

28. copyright 2015 kuwata-lab.com all rights reserved.© Q：PHPコードが埋め込めるのでは？セキュリティ上の大きな穴になりそう… // SQL template select <?= $_GET['param'] ?> from users where true -- % if :max_age and age <= :max_age -- % end -- % if :min_age and age >= :min_age -- % end

29. copyright 2015 kuwata-lab.com all rights reserved.© A：'<?' をエスケープしますちゃんとSQL Syntax Errorになってくれます // PHP code select <<?php ?>?= $_GET['param'] ?> from users where true <?php if ($var['max_age']) { ?> and age <= :max_age <?php } ?> <?php if ($var['min_age']) { ?> and age >= :min_age <?php } ?>

30. copyright 2015 kuwata-lab.com all rights reserved.© Q：'=' と 'is null' との切り替えは？値が null なら '=' を 'is null' にしてほしい select * from users where deleted_on = :deleted // これ↓は面倒なのでいやだ select * from users -- #if :deleted where deleted_on = :deleted -- #else where deleted_on is null -- #end $vars['deleted'] がnullなら  '=' を 'is null' に自動的に変更してほしい

31. copyright 2015 kuwata-lab.com all rights reserved.© A：MySQLの '<=>' 演算子を使おうポスグレなら 'is not distinct from' 演算子 select * from users where deleted_on <=> :deleted 値が null なら deleted_on is null と同じ、それ以外なら deleted_on = :deleted と同じ注：本当なら、SQL構文を解析して '=' 演算子を置換することが望ましい。

32. copyright 2015 kuwata-lab.com all rights reserved.© Q：where句の追加が面倒では？例：上下限値があるときだけwhere句を追加 select * from users -- #if :max_age or :min_age where true -- #if :max_age and age <= :max_age -- #end -- #if :min_age and age >= :min_age -- #end -- #end この条件分岐が面倒!!

33. copyright 2015 kuwata-lab.com all rights reserved.© A：DBの最適化機能に任せよう「where true」が残っても性能に影響はない select * from users -- #if :max_age or :min_age where true -- #if :max_age and age <= :max_age -- #end -- #if :min_age and age >= :min_age -- #end -- #end 余分な 'where true' は DBのOptimizerが  取り除いてくれる (実行計画を見れば確認可能)

34. copyright 2015 kuwata-lab.com all rights reserved.© Q：やっぱり埋め込み式が欲しい！ placeholderでは表名やカラム名が指定できない select * from blog_entries_<?= $user ?> where deleted_at is null order by <?= $sortkey ?> from :table とはできない order by :sortkey とはできない

35. copyright 2015 kuwata-lab.com all rights reserved.© A：制限つき埋め込み式を用意しました値として、英数字と '_' と '.' だけを許可 // SQL template select * from blog_entries order by [=:sortkey=] // PHP code select * from blog_entries order by <?php if (! preg_match('/^w+(.w+)*$/', $vars['sortkey']) throw new SQLTemplateError("error"); echo $vars['sortkey']; ?> テーブル名やカラム名でなければ例外を発生

36. copyright 2015 kuwata-lab.com all rights reserved.© 課題 xxx in (...) のサポートがまだプレースホルダではうまく扱うのが難しく、仕様を考え中  （できるならPDOのエスケープ機能 quote() を拡張したい） foreach文の導入がまだこれもプレースホルダでは扱いが難しいが、いわゆる  バルクインサートでは必須なので実装したい PDOは全部文字列として扱ってしまう! バインド変数にデータ型を指定するよう変更予定

38. SQL構文木

41. copyright 2015 kuwata-lab.com all rights reserved.© SQL構文木の組み立て方 O/R Mapperを使う class Book extends Entity { ... }; class Books extends Schema { ... }; $q = new Query(Books); $q->where(Books::id->eq(123)); $book = $q->select('*');

42. copyright 2015 kuwata-lab.com all rights reserved.© SQL構文木の組み立て方演算子オーバーライドが使えると自然な記述に // Ruby book = Book.where(:id == 123).first() // Python book = db.query(Book) .filter(Book.id == 123) .first() true/falseではなく部分構文木を返す参考：「演算子オーバーライドをDSLに活用する」でggr

44. copyright 2015 kuwata-lab.com all rights reserved.© なぜSQL Injectionを防げるの？文字列結合後にSQLをパースするからSQLiが発生 $id = $_GET['id']; $sql = "select * from books where id = '$id'"; // もし $id が "' or 1<>'" なら…⋯ select * from books where id = '' or 1<>'' 意図しない構造に変わってしまった！

46. copyright 2015 kuwata-lab.com all rights reserved.© 本当は構文木のままDBに送信したい SQL文字列は直列化形式として本当に妥当なのか？ where = id 123 送信（注）直列化：構造のあるデータをバイト列に変換すること。  データを送信したりファイルに保存するときに必要。データベース変換 select ... from ... where ... and ... もっと改ざんされにくい形式でもいいのでは？ SQL文字列構文木

47. copyright 2015 kuwata-lab.com all rights reserved.© 注意！それは木構造ではない！ // 一見、木構造を作ってるように見えるが…⋯ $q->where('id = ?', $_GET['id']); // 実はそうではない $q->where($_GET['col'].' = ?', $_GET['id']); SQLを文字列で指定できてしまうのでアウト

50. まとめ

52. copyright 2015 kuwata-lab.com all rights reserved.© 補足型はSQLiの防止に役立つか？ Yes。型はValidationに役立つ、そしてバインド変数の ValidationはSQLi防止に有効、なので型はSQLi防止に役立つ型安全であればSQLiは防げるか？ No。型安全でも文字列連結はできる、そして文字列連結を使うとSQLiが起こり得る、なので型安全でもSQLiが起こり得る参考：https://twitter.com/ockeghem/status/650171306428596224 https://twitter.com/tanakh/status/650214648382291968  https://twitter.com/tanakh/status/650215363943116800 型安全だけではSQLiは防げない、もう一工夫必要

53. copyright 2015 kuwata-lab.com all rights reserved.© 参考資料 (SQLテンプレート) SQLTempl8 https://github.com/kwatch/sqltempl8 Doma - SQLテンプレートの仕組み http://www.slideshare.net/taedium/doma-sql DBFlute入門 - 外だしSQLの基本 http://gihyo.jp/dev/feature/01/dbﬂute/0005 S2JDBC - SQLファイル http://s2container.seasar.org/2.4/ja/s2jdbc_manager_sqlfile.html

56. One More Thing...

徳丸先生に怒られない、動的SQLの安全な組み立て方

kwatch

徳丸先生に怒られない、動的SQLの安全な組み立て方

A particular slide catching your eye?