flawopen.com/SQLインジェクション/Python

Python における SQLインジェクション

このページの重要な用語

ユーザー制御入力

アプリケーションを使う人——あるいは攻撃する人——に由来するあらゆる値のこと。フォームの入力欄、URLパラメータ、アップロードされたファイル名、HTTPヘッダーなど。アプリケーション側は、それが正しい形式で安全だと決して前提にできません。

SQLクエリ

データベースに送られるコマンド。「この行を取得する」「このテーブルを削除する」など。その意味は正確なテキストだけで決まるため、そこに余分なテキストを注入することが危険になります。

何が起きているか

SQLインジェクションは、ユーザー制御入力が独立した値として渡されるのではなく、データベースクエリのテキストに直接組み込まれることで発生します。文字列をつなぎ合わせてクエリを組み立てるコードでは、攻撃者はクエリの実際の構造を変えてしまうような入力を送り込めます——「1行だけ取得する」クエリを、全行を返すクエリや、テーブルを削除するクエリに変えてしまうのです。

Pythonでは、ほぼ決まって同じ形で現れます。データベース呼び出しを、データベースドライバ組み込みのパラメータプレースホルダーではなく、f文字列や % フォーマット、あるいは単純な + 連結で組み立ててしまうケースです。

実際に起きた影響

脆弱な実装 vs. 修正済みの実装

# user_id はリクエストから直接渡される
def get_user(cursor, user_id):
    query = f"SELECT * FROM users WHERE id = {user_id}"
    cursor.execute(query)
    return cursor.fetchone()

# 値は別途渡され、テキストに埋め込まれない
def get_user(cursor, user_id):
    query = "SELECT * FROM users WHERE id = %s"
    cursor.execute(query, (user_id,))
    return cursor.fetchone()

なぜこの修正で解決するのか

修正版では、クエリのテキストと値を、execute() に対して2つの別々の引数として渡しています。データベースドライバもこれらを分けてデータベースに送信するため、値が付加される前にクエリの構造が確定しており、値に何の文字が含まれていようとSQL構文の一部として解釈されることは決してありません。f文字列ではこれを実現できません。execute() がクエリを受け取る時点で、値はすでにコマンドの一部であったかのようにテキストへ焼き込まれてしまっているからです。

Python特有の注意点

よくある誤解

自分のコードが影響を受けていないか確認する方法

予防チェックリスト

• ✓値は常に execute() の第2引数として渡す —— クエリ文字列に直接埋め込まない
• ✓f文字列、% フォーマット、+ 連結でクエリを組み立てない
• ✓raw() / text() を使わざるを得ない場合も、内部の値はパラメータ化する
• ✓静的解析ツール（Banditなど）をCIで実行し、回帰を自動的に検出する

よくある質問

参考資料

• CWE-89: Improper Neutralization of Special Elements used in an SQL Command
• psycopg2 — Passing parameters to SQL queries
• Python sqlite3 —— 公式ドキュメント
• OWASP SQL Injection Prevention Cheat Sheet