More Related Content
What's hot
What's hot (20)
Viewers also liked
Viewers also liked (13)
Similar to Webアプリって奥が深いんです
Similar to Webアプリって奥が深いんです (20)
More from abend_cve_9999_0001
More from abend_cve_9999_0001 (20)
Webアプリって奥が深いんです
- 10. ■ SQL インジェクション 外部から悪意のあるリクエストによりデータベースの不正操作が可能な脆弱性 ・ 認証の迂回によるサービスの不正利用 ・ データベースに保存された情報の漏洩 ・ データの破壊や改竄 Application Server Database 攻撃者 被害 認証の迂回 情報漏洩 データの破壊・改竄
- 11. ■ SQL インジェクション フォーム等から入力値がそのままDBに渡され、SQL文として評価されている。 ログイン ユーザ名： パスワード： test ’ OR ’1’=’1 SELECT * FROM users WHERE id = ’ $id ’ AND pwd = ’$pwd ’; SELECT * FROM users WHERE id = ’ test ’ AND pwd = ’ ’ OR ’1’=’1 ’; a) Prepared Statementを利用 b) SQL特殊文字をエスケープ（非推奨） ログインに成功しました。 ② ① 攻撃手法 原因 対策
- 12. ■ SQL インジェクション Prepared Statementって 準備された文という意味。 SELECT * FROM users WHERE id = ’ test ’ AND pwd = ’ ’ OR ’1’=’1’ ; 入力の結果、「OR '1'='1'」としてSQLが評価（赤箇所）され、作成者の意図と 異なる挙動（SQL文の構文が変更される）になる。 そうならないために・・・ SELECT * FROM users WHERE id = AND pwd = ;? ? 実行されるSQLを事前に用意しておく。 データベースアプリケーション id = pwd = test pass 必要な情報だけ引き渡す。 Prepared Statementは、引き渡される情報（パラメータ）のみ受け渡してSQL文の 構文変化を行わせないようにしている。 SELECT * FROM users WHERE id = ’ test ’ AND pwd = ’ ’ ’ OR ’ ’ 1’ ’ =’ ’ 1 ’ ;
- 13. String driver = "jdbc:mysql://localhost:3306/db?useUnicode=true&characterEncoding=UTF-8"; Connection con = DriverManager.getConnection(driver, "user", "pass"); String loginName = request.getParameter("loginnm"); String passwd = request.getParameter("passwd"); String sql = "Select UserId From Users Where LoginName = '" + loginName + "'" + " and Passwd = '" + passwd + "'"; Statement stmt = con.createStatement(); ResultSet rs = stmt.executeQuery(sql); String driver = "jdbc:mysql://localhost:3306/db?useUnicode=true&characterEncoding=UTF-8&useServerPrepStmts=true"; Connection con = DriverManager.getConnection(driver, "user", "pass"); String loginName = request.getParameter(“loginnm"); String passwd = request.getParameter(“passwd") String sql = “Select UserId From Users Where LoginName = ?" + " and Passwd = ?"; PreparedStatement stmt = con.prepareStatement(sql); stmt.setString(1, loginName); stmt.setString(2, passwd); ResultSet rs = stmt.executeQuery(); ※Prepared Statementを利用している場合でもlike検索を行うときは、%、_はエスケープ する必要があります。 また、根本解決ではないが、入力値の確認（例：数値チェックなど）、エラーメッセージ 出力の制御、DBの権限見直しを行うことでリスクは軽減される。 詳細：http://www.ipa.go.jp/security/vuln/documents/website_security_sql.pdf と 徳丸本を。 ■ SQL インジェクション対策 脆弱な例 改善例
- 16. ■ セキュリティ診断とは 1) セキュリティ診断（擬似攻撃）により「脆弱性」を顕在化。 2) 優先度に沿って、適切な「対策」を実施。 Security ①診断（擬似攻撃） による脆弱性検出 ②優先度に応じ 「対策」 機密情報など 修正
- 17. ■診断対象 OS / Middleware オープンソースや商用製品に存在するセキュリティホールや設定不備などの脆弱性 を顕在化する。（プラットフォーム診断） Webアプリケーション診断 仕様上の 欠陥 バグ脆弱性 Webアプリケーション セキュリテ ィホール 設定不備 脆弱性 OS/Middleware プラットフォーム診断 Webアプリケーション Webアプリケーションの画面表示や処理に存在する仕様上の欠陥やバグなどの個々の 画面に存在する脆弱性を顕在化する。（Webアプリケーション診断）
- 18. ■ 「Webアプリケーション診断」っ て？ 診断対象 脆弱性の有無を判定 リクエスト レスポンス 1)リクエストに攻撃パターンを付加。 2)レスポンスの内容から脆弱性の有無を判定。 Proxy ※Proxyが必要な理由 ブラウザ（IEなど）では、できることに制限があるため 例：ヘッダの改変、選択形式の入力項目に対する改変 都道府県： 性別： 男 女 東京都 Burp Proxy、Fiddler、Doormanなどがあります。 攻撃パターン付加
- 19. ■ 「Webアプリケーション診断」は何する の？ 診断対象画面 ログイン画面 ユーザ名： パスワード： ログイン 様々な攻撃パターンを試行。 ・「"><script>alert()</alert>」 ・「'」 ・「'|||'」 ・記号やNull文字（空文字） ・5000バイトの文字列 1)各項目に数十～百パターン程度試行。 2)レスポンスの内容により、攻撃パターンを修正し試行。 「'」を入力 Webアプリ 「java.sql.SQLException:[Microsoft][ODBC SQL Server Driver][SQL Server]オブジェク ト名 'xxxx' は無効です。」が出力 リクエスト レスポンスブラックボックス この結果なら、次は 「'+'」にしよう。
- 20. ■いろいろ入力してみます。 アプリの動きを見切る。 SQL文の断片を入力しますが、それだけではありません。 脆弱性が存在していた場合に、正常に動作するパターンやエラーとなるパターン も入力します。 ① 文法通りのSQL文の断片 検索画面 検索： te'||'st 検索結果 20件 －－－ －－－ －－－ 正常に動作するはず。 ② 文法から逸脱したSQL文の断片 検査精度向上（誤検知を減らす）のために、いろいろ試すわけです。 検索画面 検索： te'|||'st エラーにならないとおかしい。 エラーが発生しました。 SELECT * FROM goods WHERE name = ’ te’||’st ’ ; SELECT * FROM goods WHERE name = ’ te’|||’st ’ ;
- 22. それだけはやめて ■ 遊びにもルールがある どんな遊びにもルールがあるようにSQLインジェクションを見つけてもやっては いけないこともある。 ①「or」はあまり好ましくないんです。 ②複文もあまり好ましくないんです。 UPDATE table SET password = ’ xxx’ WHERE id = 1 OR 1 = 1 全員のパスワードが「xxx」になってしまう。 UPDATE table SET password = ’ xxx’ WHERE flg = 1;SELECT 0;-- AND id = 1 「AND id = 1」 が評価されないため、「flg」が1であるユーザのパスワードが 「xxx」になってしまう。 ブラックボックステストなので、脆弱性が存在していれば対象システムを結果的に 壊すこともある。なので、テスト環境での実施をお勧めしてます。 評価されない
- 23. デモで・・・
- 24. 会員情報変更画面 MySQLの場合、デフォルトだと文字列連結はconcat(文字列1,文字列2, ...)しか利用できないが、sql_modeにPIPES_AS_CONCAT をセットすることでパイプ（||）で文字列連結となる。デフォルトでは設定されていない。 「'|| user() ||'」と入力するとDBへの 接続ユーザ名が表示される。 UPDATE users SET NAME = ' '|| user() ||' ' WHERE id = ’ $id ’; 「空文字」 "結合" user() "結合"「空文字」をセットしろ 接続ユーザ名が表示される ■ SQL インジェクション
- 25. 文字列連結と論理和トラップ MySQLの場合、「||」は論理和を意味しており、さらに暗黙の型変換が行われる ため、文字列を入力されてもエラーとはならず評価されてしまう。そのため、 Oracleなどで動作する文字連結とは挙動が異なるため、思わぬ動作をしてしまう 場合がある。 ■ SQL インジェクション ※表示上、半角スペースを入れてます。 No 評価内容 評価結果 ① SELECT ' 数字(０以外) ' || ' 数字(０以外) ' 1 ② SELECT ' ０ ' || ' 数字(０以外) ' 1 ③ SELECT ' 文字列 ' || ' 数字(０以外) ' 1 ④ SELECT ' 文字列 ' || ' ０ ' 0 ⑤ SELECT ' 文字列 ' || ' 文字列 ' 0 UPDATE users SET password = 'xxx' WHERE id = '1' || '1'; 全ユーザの「password」が「xxx」に変わってしまう。
- 26. 論理和トラップを調査してみた こんなテーブル（users）にデータをセット。 ID:varchar NAME:varchar ■ SQL インジェクション ID NAME 1 aaa 2 bbb 3 cccc a ddd b eee 論理和の第二オペランドがTrueかどうかが肝。Falseの場合でも第一オペランドの値で マッチする条件が対象となる。Trueの判定も最初の文字が0以外の数字ならいけちゃう。 （環境：CentOS MySQL5.1.67、WinXP MySQL5.6.11） ① SELECT * FROM users WHERE id = '1' || '1'; 実行結果：全5件出力された。 ② SELECT * FROM users WHERE id = '1' || '0'; 実行結果：ID「1」のみ1件出力された。 ③ SELECT * FROM users WHERE id = 'a' || '1'; 実行結果：全5件出力された。 ④ SELECT * FROM users WHERE id = 'a' || '0'; 実行結果：ID「a」のみ1件出力された。 ⑤ SELECT * FROM users WHERE id = 'a' || '1xx'; 実行結果：全5件出力された。 ⑧ SELECT * FROM users WHERE id = 'c' || 1; 実行結果：全5件出力された。 ⑥ SELECT * FROM users WHERE id = 'a' || '01'; 実行結果：全5件出力された。 ⑦ SELECT * FROM users WHERE id = 'a' || 'x1'; 実行結果：ID「a」のみ1件出力された。
- 27. 文字列連結と論理和トラップ ＜結論＞ データベースが特定できていない状況の場合、第2オペランドがFalseとなる ような値にした方がいい。 入力例：「元の値'||'a」、「元の値'||'0」、 「元の値'||'あ」 入れない方がいい値：「元の値'||'数字（0以外の値）から始まる文字列」 ※最初の1文字目が0以外の数字でTrueとして評価される。 ■ SQL インジェクション SELECT文の場合、全件出力されることの影響度は低いが、UPDATE文やDELETE文の 場合、全件を対象に実行されると影響度は高い。