ASP.NET 1.1を使っているWebサイトに，新たなSQLインジェクション攻撃の可能性が潜んでいることが分かった。セキュリティ・コンサルティング会社であるHASHコンサルティングの徳丸 浩氏が見付けた（HASHコンサルティングが公開した情報）。
同氏が発見したのは，不正なパーセント・エンコードを利用して，IDS/IPS（侵入検知/防御システム）やWebアプリケーション・ファイアウォール（WAF）による検知を回避する手法である。不正なパーセント・エンコードを利用した検知回避については，ラックが2008年10月に公開した「【CSL】CSL緊急注意喚起レポート～新手のSQLインジェクションを行使するボットの確認～」と題するホワイトペーパーで紹介されている。徳丸氏が発見したのは，その手口の応用版である。
ASP（Active Server Pages）では，「DEC%LARE」のようにパーセント記号に続く2文字が16進数でない場合，パーセント記号を取り除く，すなわち，ASPスクリプト内部では，入力は「DECLARE」として処理される。
アプリケーション側でSQLインジェクション対策を施している場合は問題は生じないが，IPSやWAFを用いて防御している場合，「DEC%LARE」をSQLキーワードとして検知できない場合がある。ただし，ASP.NETを利用している場合，パーセント記号は除去されないため，この問題は発生しないことがわかっていた。
これに対して今回発見されたのは，ASP.NET 1.1を対象とするもの。HTTPリクエストの文字エンコーディングとしてUTF-8を利用している場合，ASP.NETでは，「不正なUTF-8シーケンス」を除去することが分かった。例えば「DEC%C0LARE」のように入力すると，ASP.NET 1.1はUTF-8として不正な「%C0L」のうち「%C0」だけを除去する。つまり，ASP.NETスクリプトが受け取る入力文字列は「DECLARE」となる。
アプリケーション側でぜい弱性対策を施している場合は問題は発生しない。IDS/IPS/WAFは，不正なUTF-8シーケンスを見分けることが困難なので，SQLキーワードなどを見逃す可能性が高い。%C0はISO-8859-1では「Aにグレイヴ・アクセントを付した文字」，Shift_JISでは半角カタカナの「テ」である。つまり，%C0など挿入された文字は他の文字エンコーディングでは正当な文字であるので，単純に検知・削除するわけにはいかない。
対策は，Webサイト側でASP.NET 2.0以上にバージョンアップすることと，アプリケーションでぜい弱性対策を施すことである。
