[B! sql] manatenのブックマーク

SQLインジェクション対策もれの責任を開発会社に問う判決

ポイントは下記の通りです。 X社（原告）はセキュリティ対策について特に指示はしていなかった損害賠償について個別契約に定める契約金額の範囲内とする損害賠償責任制限があった当初システムはカード決済を外部委託し直接カード情報を扱っていなかった X社が「カード会社毎の決済金額を知りたい」とY社に依頼をして、その結果カード情報をいったんDBに保存する仕様となった（2010年1月29日） X社からの問い合わせに対してY社は、カード情報を保持しない方式に変更することが可能で、そのほうが安全となり、費用は20万円程度である旨を伝えた（2010年9月27日）が、その後X社は改良の指示をしなかった以下の脆弱性その他が認められたシステム管理機能のIDとパスワードが admin/password であった個人情報が記載されたお問い合わせログファイルの閲覧が可能（ディレクトリリスティングと意図しないファイ

manaten 2015/01/22

sql

リンク

SQLの基本

manaten 2014/01/14

sql

リンク

書式文字列によるSQLインジェクション攻撃例

以下のようなコードがあり、nameは画面入力なのでSQLインジェクションが起こるのでは？と作成者に確認したところ、"%s"してあるから大丈夫との返事をもらいました。ネット調べるとmysql_real_escape_stringでエスケープしてから"%s"で変換すれば大丈夫といった内容は見つけたのですが、mysql_real_escape_stringなど不要との返事をもらいました。なぜ？と聞くとそういうものだとしか回答がありません。ひどいですね。これは質問者が正しく、sprintfの%sで受けただけでは、SQLインジェクション脆弱性となります。しかし、どうしてこのような間違った知識が出てきたのかと考えるに、数値を%dで受ける場合と混乱したのではないかと憶測しました。数値の場合、書式%dで受けていれば、仮に攻撃コードが入力されたとしても、%dで整数に強制変換されるので、SQLインジ

manaten 2012/12/10

php
sql

リンク

MySQLで月、年単位で値を抽出する方法 - 僕のススメ。

年月のある単位で値を抽出するにはDATA_FORMAT関数で値を加工して、WHEREで引っ掛ければいい。 DATA_FORMAT関数 DATE_FORMAT関数は帰ってくる日付のフォーマットを色々変更することが出来る。詳細は以下のURLを参照のこと。 MySQL :: MySQL 5.6 リファレンスマニュアル :: 12.7 日付および時間関数年で抽出 ↓は2008年に作成された値を抽出する場合の例。 SELECT * FROM table_name WHERE DATE_FORMAT(make_date, '%Y')=2008; 月で抽出 ↓は2008年10月に作成された値を抽出する場合の例。 SELECT * FROM table_name WHERE DATE_FORMAT(make_date, '%Y%m')=200810; 総評 DATE_FORMAT関数を使用すればまだまだ

manaten 2012/12/05

sql

リンク

Google Code Archive - Long-term storage for Google Code Project Hosting.

Code Archive Skip to content Google About Google Privacy Terms

manaten 2012/08/20

リンク

【CakePHP】SQLが頭に浮かぶなら迷わずqueryメソッドを使おう | バシャログ。

こんにちは、inoueです。高校球児のようにちょっと連投。 CakePHPを使ってアプリケーション開発をしていると、「便利だなあ」と思う点と「面倒だなあ」と思う点があります。特にDBアクセスまわりは、単純な1テーブルとのやりとりはフレームワークが楽をさせてくれるのですが、複数テーブルをJOINしたり、MySQL関数を使いたいときは非常に面倒に思ってしまいます。そんなとき、思い悩まずに済むのがモデルのqueryメソッドです。使用方法任意のSQLを記述し、それを引数として queryメソッドに渡せば、実行結果を配列で返してくれます。例として、アクセスログを集計してページごとの日別アクセス数を求める場合はこんな感じ。 $sql = " SELECT blog_id, author_id, entry_id,"; $sql .= " DATE_FORMAT(access_datetim

manaten 2012/07/31

リンク

GitHub - ondras/wwwsqldesigner: WWW SQL Designer, your online SQL diagramming tool

Hi and welcome to WWW SQL Designer! This tool allows you to draw and create database schemas (E-R diagrams) directly in browser, without the need for any external programs (flash). You only need JavaScript enabled. The Designer works perfectly in Chrome, Mozilla (Firefox, Seamonkey), Internet Explorer, MS Edge, Safari and Opera. Many database features are supported, such as keys, foreign key const