ForHosting KIT · 検証・チェック

入力値の攻撃コードを検出

フォームやAPIに渡す前の文字列を検査し、SQLインジェクションやコマンドインジェクションでよく使われるパターンが含まれていないかを判定するツールです。開発者向けの入力チェックやログの点検に使えます。

● 安定提供中無料・ブラウザ内で実行

無料で実行 API仕様を見る

ご利用方法ウェブAPIメールアプリ近日Telegram 近日

検出するパターン

引用符の連続、SQL文の断片、シェルコマンドの区切り文字など、攻撃でよく使われる文字列のパターンを照合します。存在するすべての攻撃手法を網羅するものではありません。

サニタイズとの違い

この機能は疑わしい文字列を検出して知らせるだけで、文字列そのものを書き換えることはしません。実際の防御は、パラメータ化クエリなどアプリ側の実装で行ってください。

使い方

検査したい文字列を貼り付けて実行すると、疑わしい箇所とその理由が返ります。フォームの入力チェックやログの点検に使えます。

開発フローへの組み込み

API経由で呼び出せば、受信した入力値を保存する前に自動でチェックする処理に組み込めます。ブラウザでの利用は無料、API利用は1件$0.002です。

活用例

問い合わせフォームの入力検査

合同会社みどりデザインでは、公開前の問い合わせフォームで想定される入力パターンをこの機能に貼り付け、攻撃文字列への耐性を事前に確認しています。

ログの点検

開発者の山本翔太は、アクセスログに残った不審なパラメータをこの機能に貼り付け、実際に攻撃を試みられた形跡かどうかを判定しています。

社内システムの入力チェック組み込み

株式会社山田商事の情報システム部門では、社内フォームの受付処理にAPI経由でこの機能を組み込み、疑わしい入力を記録に残す運用にしています。

よくある質問

貼り付けた文字列はサーバーに送信されますか

送信されません。ブラウザでの利用時は処理がブラウザ内で完結し、入力した文字列が外部に送られることはありません。

この機能を使えば攻撃を完全に防げますか

防げません。既知のパターンとの照合による検出であり、防御そのものはパラメータ化クエリなどアプリ側の実装が必要です。この機能は点検の補助として使ってください。

件数や文字数に制限はありますか

ブラウザ内で処理するため、実質的な上限はありません。長い入力文字列でもそのまま検査できます。

なぜ無料で使えるのですか

入力文字列とパターンを照合するだけの処理で、外部サーバーとの通信は発生しません。処理がブラウザ内で完結するぶん運用コストもかからないため、無料で提供しています。

APIから呼び出して自動化できますか

可能です。1件$0.002で、フォームの受付処理やログ監視の仕組みに組み込めます。

対応している攻撃の種類は何ですか

SQLインジェクションとコマンドインジェクションでよく使われるパターンを中心に検査します。それ以外の攻撃手法（XSS等）は対象外です。

開発者向け — APIアクセス

このページの機能はすべてAPIからも利用できます。自社システムに組み込みたいチーム向けのセクションです。それ以外の方は上のツールをそのままお使いください。

エンドポイント

POSThttps://api.kit.forhosting.com/verify/injection

Bearerトークンで認証し、POST1回でタスクをキューに登録します。結果はWebhookまたは署名付きリンクで受け取れます。

お使いのスタックから呼び出す

curl -X POST https://api.kit.forhosting.com/verify/injection \
  -H "Authorization: Bearer $KIT_KEY" \
  -H "Content-Type: application/json" \
  -d &#39;{"items":["valor-1","valor-2"]}'

const res = await fetch("https://api.kit.forhosting.com/verify/injection", {
  method: "POST",
  headers: {
    "Authorization": `Bearer ${process.env.KIT_KEY}`,
    "Content-Type": "application/json"
  },
  body: JSON.stringify({
    "items": [
      "valor-1",
      "valor-2"
    ]
  })
});
const { task_id } = await res.json();

import os, requests

res = requests.post(
    "https://api.kit.forhosting.com/verify/injection",
    headers={"Authorization": f"Bearer {os.environ[&#39;KIT_KEY']}"},
    json={
    "items": [
        "valor-1",
        "valor-2"
    ]
},
)
task_id = res.json()["task_id"]

<?php
$res = file_get_contents("https://api.kit.forhosting.com/verify/injection", false, stream_context_create([
  "http" => [
    "method"  => "POST",
    "header"  => "Authorization: Bearer " . getenv("KIT_KEY") . "\r\nContent-Type: application/json",
    "content" => &#39;{"items":["valor-1","valor-2"]}',
  ],
]));
$task = json_decode($res, true);

body := bytes.NewBufferString(`{"items":["valor-1","valor-2"]}`)
req, _ := http.NewRequest("POST", "https://api.kit.forhosting.com/verify/injection", body)
req.Header.Set("Authorization", "Bearer "+os.Getenv("KIT_KEY"))
req.Header.Set("Content-Type", "application/json")
res, _ := http.DefaultClient.Do(req)

リクエスト例

{
  "items": [
    "valor-1",
    "valor-2"
  ]
}

レスポンス例

{
  "task_id": "tsk_a1b2c3d4e5f6a1b2c3d4e5f6",
  "type": "verify.injection",
  "status": "queued",
  "_links": {
    "result": "/tasks/tsk_…/result"
  }
}

非同期APIです。task_idは即時に返ります。ポーリングは1秒あたり1リクエストまでです。

料金

1リクエストあたり$0.002

単価はすべて公開しています。トークン換算や独自クレジットはありません。失敗したタスクは課金されません。

エラー

HTTP	コード	意味
`401`	`unauthorized`	APIキーが無効か、指定されていません。Authorizationヘッダーを確認してください。
`402`	`insufficient_balance`	残高が不足しています。チャージ後に再度お試しください。
`404`	`unknown_type`	指定されたタスクタイプは存在しません。タイプ名を確認してください。
`429`	`rate_limited`	リクエストが多すぎます。しばらく待ってから再度お試しください。

KITの完全なドキュメントを見る →

無料で実行