「セキュリティの脆弱性を実際に試してみたい」と思ったことはありませんか？

今回は、セキュリティ脆弱性を実際に体験できるツール『DVWA (Damn Vulnerable Web Application)』を紹介します。このツールは、PHPとMySQLで構築された、意図的に脆弱なWebアプリケーションです。これを使って、実際にセキュリティ脆弱性を学び、どのように攻撃が行われるかを体験できます！
具体的な設定方法や構築については、こちらの公式ドキュメントを参考にしてください！今回は構築手順を省略し、実際の攻撃の手法について説明します！

含まれる脆弱性

ブルートフォース(Brute Force)
コマンド実行(Command Execution)
クロスサイトスクリプティング(Cross Site Request Forgery (CSRF))
安全でないCAPTCHA(Insecure CAPTCHA)
ファイルインクルージョン(File Inclusion)
SQLインジェクション(SQL Injection)
安全でないファイルアップロード(Insecure File Upload)
クロスサイトスクリプティング(Cross Site Scripting (XSS))
イースターエッグ(Easter eggs)
ファイルパスディスクロージャ(Full path Disclosure), 認証バイパス(Authentication bypass)やその他の脆弱性が隠されています。

DVWAのセキュリティ機能

DVWAでは、セキュリティレベルを以下の3段階で設定できます。

🔒 High（安全なレベル）

特徴: 完全に安全で、脆弱性はありません。
目的: 安全なコーディング例を学ぶために使用。
使い方: 脆弱なコードと比較して、セキュアな実装方法を理解する。

⚠️ Medium（不完全なセキュリティ）

特徴: 開発者が安全にしようと努力したが、不十分な例。
目的: 一見安全に見える実装がどこで失敗するかを学ぶ。
注意: 攻撃可能な箇所が残されている。

❌ Low（完全に脆弱なレベル）

特徴: 全く安全でない状態。
目的: 典型的な悪いコーディング例を通じて、脆弱性がどのように発生するかを理解する。
例: SQLインジェクションやXSSが容易に成功する。

実践！反射型クロスサイトスクリプティング (Reflected XSS)

ここでは、実際に反射型XSS（クロスサイトスクリプティング）攻撃を体験！XSSは、攻撃者が悪意のあるスクリプトを仕込み、ユーザーのブラウザで実行させる攻撃手法です！

反射型XSSの手法と流れ

1: 攻撃者が悪意のあるURLを用意する
攻撃者は次のような スクリプト付きのURL を作成します。
このURLにはブラウザで実行されるJavaScriptが含まれています。

https://example.com/vulnerable.php?q=<script>alert('XSS')</script>

q パラメータに悪意のあるスクリプトを仕込みます。
攻撃者はこのリンクをメールやSNS を通じて「見てみて！」とユーザーに送りつけます。

2: ユーザーがリンクをクリックする
被害者（ユーザー）は、攻撃者から送られたURLを信じてクリックしてしまいます。

3: Webサーバがスクリプトを含む応答を返す
脆弱なWebアプリケーションは、入力されたパラメータ q の内容をそのまま画面に表示します。
このため、次のようなHTMLが生成され、ブラウザに返されます。

<p>検索結果: <script>alert('XSS')</script></p>

サーバは入力値の検証やエスケープ処理を行わないため、
悪意のあるスクリプトがそのまま出力されます。

4: ユーザーのブラウザでスクリプトが実行される
ユーザーのブラウザは、返されたHTMLを解析し、含まれているJavaScriptコードを実行します。例えば、alert('XSS') が実行されると、ブラウザにポップアップメッセージが表示されます。

<具体的な動作例>

ポップアップ表示: alert('XSS') が実行され、警告メッセージが表示される。
Cookieの窃取: JavaScriptを使ってCookie情報が攻撃者のサーバに送信される。
ページ改ざん: 悪意のあるスクリプトがページ内容を書き換える。

┌────────────┐        ① 攻撃者がURLを送信
│ 攻撃者      │ ───────────► ユーザー (クリック)  
└────────────┘
                        ▼
             https://example.com?q=スクリプト
                        │
                        ▼
┌────────────┐        ② ユーザーがリンクを開く
│ Webサーバ　　　│ ◄─────────── 
│ (脆弱なサイト) │   スクリプトを含む応答  
└────────────┘
                        ▼
┌────────────┐        ③ ユーザーのブラウザで実行あ
│ ブラウザ      │───────────► JavaScriptが動作
│ (ユーザー画面)│  
└────────────┘

反射型XSSのポイント

原因: 入力値が適切にエスケープされず、そのまま出力されてしまう。
危険性: 攻撃者が用意したスクリプトがユーザーのブラウザで動作し、サイト改ざんやCookie情報の窃取が可能になる。
対策: 入力値のサニタイズやエスケープ処理を行い、信頼できない入力をそのまま表示しないこと。

やってみよう実際にDVWAで反射型XSSを試す

まず、セキュリティレベルを Medium に設定します。

1.左メニューから「DVWA Security」を選択し、セキュリティレベルを Medium に設定します。
「Submit」ボタンを押して適用。

2.左メニューからXSS(Reflected)を押下。

3.入力フィールドに次のコードを入力して実行します。

<script>alert('XSS')</script>

入力後、「Submit」をクリックします。

4.すると、以下のようにアラートが表示されます！あらまぁ！

まとめ

今回、DVWAを使用して反射型XSSを体験することで、脆弱性がどのように攻撃され、どのように対策を取るべきかを学ぶことができました！　セキュリティを強化するためには、入力値を適切に処理し、悪意のあるコードが実行されないようにすることが重要です