暑い SQLインジェクション 取締役会と監査役

暑さがどんどん増していきますね。
夏真っ盛りです。

先週、SQLインジェクションという攻撃について調査しました。以前から内容の概観は理解していたのですが、詳細な攻撃方法については知らなかったので、調べました。
要するに、Webアプリケーションのバグによって、コマンドが渡せるのか、クロスサイトスクリプト(XSS、CSS)ができるのか、SQLインジェクションができるのかの違いです。

で、SQLインジェクションは色々な方法があって、以前騒がれたカ○ク○ムもこの攻撃を受けたと言われていますね。
データベースに不正なフレームと一緒にデータを埋め込んで、そのデータを閲覧した人がフレーム内のプログラムを実行して感染するという手法です。
結局は、SQL文(データベースの命令)を使ってどのような悪さができるか、というだけですね。

攻撃も非常に簡単で、ある命令が書かれた文字列をコピーしてSQLに対するアクセスがあり得るところに貼り付けてやれば成功します。

このようなバグは小さなWebショッピングなどを開いているお店に対して多く存在します。
理由は簡単で、Webアプリを作成する業者が時間がなく、セキュリティ意識が乏しいため、チェックもろくにせず放置するからです。
当然、委託したWebショッピング業者もチェックするわけもなく、バグが存在するまま、公開されているといった流れになります。


商法をやっていますが、今日は結構進みました。まだ会社法は終わっていません。
しかし、来年の旧司法試験は新会社法がどうか分からないので、ちょっと不安になりながら、考えないようにして日々励んでいます。

取締役会と監査役
☆構成
■取締役会→取締役が相互に監視する義務を負う(260条1項2項)
・代表取締役の選任・解任(261条1項)
・業務状況の報告(260条3項4項)
↓
取締役会は妥当性監査まで可能
×自己監査となり徹底不可
■監査役(274条1項)→取締役の職務執行を監査
・営業報告請求権、財産状況調査権(274条2項)
・取締役会招集権(260条の3第3項4項)、取締役会への出席権、意見陳述義務(260条の3)、株主総会への報告義務(275条)
・違法行為差止請求権(275条の2)、取締役への責任追及代表権(275条の4)
↓
独立性を確保(276条)し、監査を徹底
×違法性監査まで
■まとめ
取締役会と監査役が互いに補い合って機能している