はじめに
webアプリケーションのセキュリティ強度を高めるため、OWASP ZAPというツールを使って見ました。
※診断するwebアプリケーションはLaravel 5.5を使っています。
OWASP ZAPとは
OWASPというセキュリティの専門家が集まったコミュニティが作ったツールで、IPAも推奨しているようです。
参考：About The Open Web Application Security Project
参考：IPA テクニカルウォッチ「ウェブサイトにおける脆弱性検査手法(ウェブアプリケーション検査編)」
診断する
ツールの使い方はいたって簡単でした。
参考：OWASP ZAPというWebアプリの脆弱性診断ツールの使い方（入門編）
設定項目
・スパイダー
| カテゴリ | テスト名 | しきい値 | 強 度 |
|---|---|---|---|
| インジェクション | CRLFインジェクション | Low | Low |
| インジェクション | Server Side Code Injection | Low | Low |
| インジェクション | Server Side Include | Low | Low |
| インジェクション | SQLインジェクション | Low | Low |
| インジェクション | クロスサイト・スクリプティング(持続型) | Low | Low |
| インジェクション | クロスサイト・スクリプティング(持続型)-Prime | Midium | Low |
| インジェクション | クロスサイト・スクリプティング(持続型)-スパイダー | Midium | Low |
| インジェクション | クロスサイト・スクリプティング(反射型) | Low | Low |
| インジェクション | バッファオーバーフロー | Low | Low |
| インジェクション | パラメータ改ざん | Low | Low |
| インジェクション | リモートOSコマンドインジェクション | Low | Low |
| インジェクション | 書式文字列エラー | Low | Low |
| サーバセキュリティ | パストラバーサル | Low | Low |
| サーバセキュリティ | リモートファイル インクルージョン | Low | Low |
| 一般 | Script Active Scan Rules | Low | Low |
| 一般 | 外部リダイレクト | Low | Low |
| 情報収集 | ディレクトリブラウンジング | Low | Low |
結果と対策
5つもアラートが上がりました。1つずつ対策します。
- X-Frame-Optionsヘッダーの欠如
クリックジャッキングをうける脆弱性のようです。iframeを使っていないので、一括でX-Frame-Optionsを設定しました。
参考：LaravelでX-Frame-Optionsを設定する
リスク：Medium
説明：「クリックジャッキング」攻撃を防止するためのX-Frame-OptionsヘッダーがHTTPレスポンスに含まれていません。
- CookieのHttpOnly属性が未設定
LaravelのCSRFトークンはデフォルトでfalseのようです。CSRFトークンはセッション管理用ではないので問題なしです。
参考：LaravelのCSRFトークンのhttpOnly属性がfalseとなっている事によるセキュリティリスクの有無
リスク：Low
説明：cookieにHttpOnly属性が設定されていないため、JavaScriptによるcookieへのアクセスが可能です。
悪意のあるスクリプトが本ページで実行可能な場合、cookieにアクセスして別のサイトへcookieを送信することができます。
もしスクリプトがアクセス可能なcookieがセッション管理用である場合、セッションハイジャック攻撃が成立する可能性があります。
- WebブラウザのXSS防止機能が有効になっていません。
上記でX-Frame-Optionsを設定したときのように行を追加しました。
$response->header('X-XSS-Protection', '1; mode=block');
リスク：Low
説明：Web ブラウザのXSS防止機能が有効になっていない、またはWebサーバからのHTTPレスポンスヘッダ 'X-XSS-Protection' が無効になっています。
- X-Content-Type-Optionsヘッダの設定ミス
上記と同様に行を追加します。
$response->header("X-Content-Type-Options: nosniff");
リスク：Low
説明：The Anti-MIME-Sniffing header X-Content-Type-Options was not set to 'nosniff'. This allows older versions of Internet Explorer and Chrome to perform MIME-sniffing on the response body, potentially causing the response body to be interpreted and displayed as a content type other than the declared content type. Current (early 2014) and legacy versions of Firefox will use the declared content type (if one is set), rather than performing MIME-sniffing.
- ブラウザによるパスワードのオートコンプリート
これは便利なので無視しました。。
リスク：Low
説明：パスワード型入力を含む HTML フォーム入力要素でオートコンプリート属性が無効になっていません。パスワードはブラウザーに格納され、取得される可能性があります。