SQLインジェクション Sleepyユーザーエージェント攻撃

ご覧のページは、お客様の利便性のために一部機械翻訳されています。また、ドキュメントは頻繁に更新が加えられており、翻訳は未完成の部分が含まれることをご了承ください。最新情報は都度公開されておりますため、必ず英語版をご参照ください。翻訳に問題がある場合は、こちらまでご連絡ください。

問題

• 
  https://domain/page?1%2b(select*from(select(sleep(x)))a)%2b=1のように 'sleepy user agent' クエリが付加された URL を Liferay は制限しません。

Environment

• Liferay DXP 7.4

解決策

• Sleepy user agent payload は x 秒間ページをスリープモード（非アクティブ）にします。これは ではなく Liferay portal で観察された動作です。
• ページのUser-agentヘッダーにSQLクエリを追加することもあるでしょう。この場合も、 False。
• したがって、この脆弱性はLiferayには存在しない。

追加情報

• User-agentヘッダーを確認するために、ユーザーはChromeの開発者ツールでウェブサイト上のすべてのリクエスト/レスポンスのネットワーク分析を行うことができます。
• 非公式Ref: The Sleepy User Agent