はじめに

IPAが出している『安全なウェブサイトの作り方』全115ページについて、まとめたものです。

以下はIPAのサイト
https://www.ipa.go.jp/security/vuln/websecurity.html

内容

1.SQLインジェクション
2.OSコマンド・インジェクション
3.パス名パラメータの未チェック/ディレクトリ・トラバーサル
4.セッション管理の不備
5.クロスサイト・スクリプティング
6.CSRF(クロスサイト・リクエスト・フォージェリ)
7.HTTPヘッダ・インジェクション
8.メールヘッダ・インジェクション
9.クリックジャッキング
10.バッファオーバーフロー
11.アクセス制御や認可制御の欠落

1. SQLインジェクション

悪意のあるリクエストにより、データベースの不正利用を招く可能性があります。

例えば、入力フォームにSQL文を含んだ文字列を入力した場合、データ漏洩や改ざんが起る場合があります。

解決策１

SQL文の組み立ては全てプレースホルダで実装する。

解決策2

SQL文の組み立てを文字列連結により行う場合は、エスケープ処理等を行うデータベースエンジンのAPIを用いて、SQL文のリテラルを正しく構成する。

解決策3

ウェブアプリケーションに渡されるパラメータにSQL文を直接指定しない。

2. OSコマンド・インジェクション

悪意のあるリクエストにより、ウェブサーバ側で意図しないOSコマンドを実行させられ、重要情報が盗まれたり、攻撃の踏み台に悪用される可能性があります。

例えば、入力フォームにSQL文を含んだ文字列を入力した場合、データ漏洩や改ざんが起る場合があります。

解決策１

シェルを起動できる言語機能の利用を避ける。(Perlのopen関数など）

3. パス名パラメータの未チェック/ディレクトリ・トラバーサル

パラメータにファイル名を指定しているウェブアプリケーションでは、ファイル名指定の実装に問題がある場合、公開を想定していないファイルを参照されてしまう可能性があります。

解決策１

外部からのパラメータでウェブサーバ内のファイル名を直接指定する実装を避ける。

解決策2

ファイルを開く際は、固定のディレクトリを指定し、かつファイル名にディレクトリ名が含まれないようにする。

4. セッション管理の不備

悪意のある人は、セッションIDの生成規則を割り出し、有効なセッションIDを推測します。
悪意のある人は、罠を仕掛けたり、ネットワークを盗聴したりし、利用者のセッションIDを盗みます。
悪意のある人は、何らかの方法で自分が取得したセッションIDを利用者に送り込み、利用者のログインを狙って、その利用者になりすまします。