タイトルは伏せますが、某映画を見ていて疑問に思うことがありました。

初めまして。E.A.Poe（知のくずかご）と申します。

主題：「SQLインジェクション」のひとつではないかと想像する

--

小生はそのような映画の心当たりがありませんので、完全な推測でお答えすることをお許しください。

最近読んだ雑誌に「SQLインジェクション」の簡単な説明がありました。概要をかいつまむと

1：Webサービスで「ID」「パスワード」を入力する必要のあるページに行く

2：工夫されたIDを入力する

3：登録されたIDが手に入る

（3.1：うまいことやってIDからパスワードを推測する（らしい。ひょっとすると同じ方法でパスワードも手に入るかもしれません）

4：入手したIDとパスワードでログインして、そのIDの持ち主になりすます

という感じでした。

この方法をつかうと

>Webサービスのアカウントをクラックして悪用し(システムではなく、あくまでWebサービス上でのアカウントです)

が可能になるのではないかと思います。

そこから先は存じ上げませんが、ひょっとして

>その後サービスが稼働しているシステムをクラックする

>システムをクラックしたのは、件のクラックされたアカウントの利用者であった、というように誤解させる

まで可能かもしれません。

--

なお、この方法はすでに対策が講じてあるそうですが、映画の話なら「ちょっとしたリアリティを持たせる小道具」として使っても、まあ大丈夫なのではないかと思います。

あまり自信がありませんが、お役に立ちますかどうか。

そもそもにサービス、およびシステムに脆弱性が有ったという前提は必要だがそれ自体は可能だ。

何らかのWebサービスのアカウントをクラックして悪用し

まずこれ自体は比較的容易。ほとんどのWebサービスは既知・未発見を問わなければ脆弱性が有ると考えて良いし、

なくてもソーシャルハッキングなどの方法でアカウントを乗っ取ることが出来る。

その後サービスが稼働しているシステムをクラックする。

これを実現するためには前述の前提条件が必要になる。

システム自体がよく知られたＯＳ・アプリケーションで構築されているのであれば不可能と言うほどでもない。

ただ、よくメンテナンスされているシステムであればゼロデイアタックなどを利用する必要があるので難易度は非常に高い。

逆にメンテナンスされていないようなシステムであればちまたに流れているクラック用のスクリプトを実行するだけで済むことすらある。

そしてシステムをクラックしたのは、件のクラックされたアカウントの利用者であった、というように誤解させる

クラックが成功したということは大抵そのシステムを自由に扱える権限を得たという状態を指す。

クラック等に関する調査は各種ログにて判定することが多いのでログを書き換えてしまうことで誤認させることは可能。

古典的なクラックの手法としてはログを削除してしまうだけの物が多いがその応用というレベルだ。

ただし、これ自体はすでにかなり研究が進んでいる部分なので別途対策が取られている場合もある。

対策が取られていれば誤認させることは非常に困難もしくは不可能になることもある。

例として、そもそもクラックされている時点でログの信憑性が無いことはよく知られているし

システムの通信自体を監視する様な仕組み（ＩＤＳ等）が導入されていることもある。

この場合システム本体だけでなく監視システム側もクラックして誤認する情報を与えなければならないので

現実的ではない。

ただし、誤認させることは無理でも攻撃元を特定されにくくする事は可能。

これは他のサーバーをクラックして踏み台にしたり、クラック自体をボットネットを利用して行う方法が知られている。

悪用を避けるため具体的な部分には一切触れていないので期待しているような回答ではないかもしれないが、その点はご容赦願いたい。

可能です。

たとえば、ゼロデイエクスプロイトを使えば、WEBサービス上のアカウントでも問題ないです。

ゼロデイエクスプロイトを使えばたいていなんでもできます。

単にアカウント取得者のためのサーバサイドスクリプトにXSS脆弱性があったということではないでしょうか。

実際、アカウント非取得者のためのページより遥かにコードの量が多いので、ログイン状態でアクセスしたときだけ脆弱性が出るっていうシチュは普通に考えられます。

ネトゲとかはほぼ全てがそうなんじゃないですか。

WebのサービスのアカウントとシステムのアカウントがLDAPなどの共通の認証基盤で結びついていれば自然とそうなる気がしていますが、どうでしょう。