クライアント・サーバ、URL パラメータ、Cookie、テーブルとカラム、文字列リテラルとエスケープ。

文字列連結というアンチパターン、文字列リテラルを途中で閉じる、コメント記号、OR 1=1 の発想。

UNION の仕組み、カラム数特定、文字列カラム探索、複数値の連結、DB 種別フィンガープリント、テーブル列挙。

結果が見えない状況での1ビット観測、SUBSTRING と LENGTH、サブクエリ、条件付きレスポンス・エラー、可視エラー、時間ベース、自動化ツール。

OAST と DNS チャネル、Oracle XXE トリック、Burp Collaborator、WAF の役割と限界、XML 文字参照によるフィルタ回避、レイヤ間エンコーディング問題。

商品カテゴリーフィルタへの注入で、未発表の新作商品を漏洩させる。SQLインジェクションの最初の一歩。

パスワードを知らずに店長アカウントとして管理画面にログインする。`--` でAND条件を消す古典手法。

UNION で別クエリを連結する前段階。クエリのカラム数を `ORDER BY` または `UNION SELECT NULL` で特定する。

UNION SELECTで文字列を返せるカラム位置を特定する。テストペイロード `'a','b','c'` を順に当てる。

UNION SELECT username, password FROM members で全会員の認証情報を商品リストに紛れ込ませる。実害が見える瞬間。

使えるカラムが1つしかない場合に、`||` 連結子で複数の値を1カラムにまとめて取得する。

`v$version` テーブルから Oracle のバージョン情報を取得。攻撃者の偵察フェーズで最初に行うこと。

`@@version` システム変数で MySQL/Microsoft SQL Server のバージョンを取得。

`all_tables` から全テーブル名を列挙、`all_tab_columns` から各カラム名を取得して認証テーブルを特定する。

`information_schema.tables` から全テーブル名、`information_schema.columns` から各カラムを列挙。

クエリ結果が画面に出ない状況で、TrueとFalseで応答が変わる微差を観察してパスワードを1文字ずつ抽出する。

応答内容に差がない場合に、条件付きエラー(divide-by-zero等)を発生させて真偽を見分ける。

SQLエラーメッセージが画面に表示される状況で、CASTによる型変換エラーを使って値そのものをエラーメッセージに含めて漏洩させる。

応答内容にもエラーにも差がない場合、`pg_sleep(10)` で意図的に遅延を起こしてSQLiの存在を確認する。

CASE WHEN ... THEN pg_sleep(10) ELSE pg_sleep(0) END で、真偽に応じた応答時間差から1文字ずつ抽出する。

クエリが非同期実行されて応答に反映されない最難ケース。外部DNS問合せをトリガーしてSQLi存在を確認する。

DNSサブドメインに値を埋め込んで、Burp Collaborator(本サイトでは模擬DNSログ)経由でデータを抜き出す。

WAFがSQLキーワードを遮断する状況で、XML数値文字参照(`S` 等)を使ってフィルタを回避する。