受け取った入力が、何に使われるかを見る

SQLを作る箇所と、ファイルを保存・処理する箇所を、入口から追います。

この場面から考える

検索・並び順・アップロードなど、外部入力を受け付ける機能があるとき。

入力がデータとして扱われる場所と、実行や構造を決める場所を分けます。

1 / 3
入口から利用先をたどる
検索語、構造の選択、ファイルの受取口から、DBや保存・処理先までのコードを読みます。
残す証拠
入力元と、値・構造・保存先の対応。
2 / 3
値と構造を分けて読む
SQLの値の束縛と固定の選択肢を確かめ、アップロード先の実行権限も確認します。
残す証拠
DB呼び出し、選択肢、保存と実行の分離を示す参照。
3 / 3
試験した境界を確認する
既存の拒否・形式・容量・権限のテストを読み、対象になっていない経路を残します。
残す証拠
入力の種類、処理先、既存試験の対象範囲。

自社コードが検索語や並び順を受け取り、SQLを作っているアプリ。

入力を受け取る場所から、実際のDB呼び出しまでを読みます。

利用者がファイルを送り、サービスが保存・配信・加工するアプリ。

受取口から保存先、処理する実行環境までの設定を読みます。

MOVEit TransferのSQLインジェクション脆弱性が、公表前から悪用されました。調査ではWebシェルの設置とデータ窃取が確認され、更新だけでなく侵害調査が必要でした。

一部Webサーバー領域に不正アクセスされ、不正プログラムを設置されました。原因の技術詳細は未公表です。 426アカウントのサーバー領域が対象です。会員・契約・支払い情報は別環境にあり、漏洩していないと説明しています。

選定した事例です。確度・未確認事項・出典は各詳細で確認できます。

SQLの値の受け渡し: SQLの構造と値を分け、値をデータとして渡す方法。列名や並び順などの構造の選択とは扱いが異なります。; 値を渡す前に、入力をSQLの文字列へつないでいませんか。; この言葉に関係する点検へ →
操作できる範囲: 利用者が、その対象に、その操作をしてよいかを決めること。ログインできることとは別の判断です。; 対象を別の利用者や組織に変えても、同じ判断が働きますか。; この言葉に関係する点検へ →
守る対象: サービス、保存先、管理アカウントなど、点検の対象になるもの。持ち主と用途を一緒に記録します。; どの環境の、誰が管理する対象を見ていますか。; この言葉に関係する点検へ →

入口で文字を調べるだけでなく、実際に使う場所でどう扱うかを確認します。

参照資料と確認日

OWASP: SQL Injection Prevention Cheat Sheet ↗
Parameterized Queries; Allow-List Input Validation
OWASP: File Upload Cheat Sheet ↗
File Storage Location; Filesystem Permissions

教材の確認 2026-11-12 · 事故カタログの確認 2026-11-09

このガイドの2ルールと点検例を、範囲を変えずに渡せます。証拠がない項目は未確認に残します。