安全なテーマ作成のためのPHPの知識
•
8 likes•4,590 views
WordCamp Kobe2013 の発表スライド。 WordPress は PHP でカスタマイズするため、自由度が高く、汎用性も高い。 一方で、カスタマイズする人がセキュリティに気を配る必要がある。 本発表では、テーマカスタマイズで起こりがちなクロスサイトスクリプティング(XSS、またはスクリプトインジェクションとも呼ぶ)を取り上げる。
Recommended
More Related Content
What's hot
What's hot (20)
Similar to 安全なテーマ作成のためのPHPの知識
Similar to 安全なテーマ作成のためのPHPの知識 (20)
Recently uploaded
Recently uploaded (9)
安全なテーマ作成のためのPHPの知識
- 2. 自己紹介 PHP 製ソフトウェアのサポート／開発支援 WordPress での活動 ● バグ修正 ● 日本語版の作成 ● ドキュメントの日本語化 ● フォーラムで回答 ● プラグイン作成＆配布
- 3. WordPress と PHP 出力する関数 / しない関数 検索ワードを表示する エスケープ処理を行う
- 4. WordPress は PHP でカスタマイズ メリット ● 自由度が高い 柔軟なカスタマイズができる 外部サービスと連携しやすい ● 汎用性が高い 独自の設定が少ない 他の PHP 製ソフトウェアでも応用できる
- 5. WordPress は PHP でカスタマイズ デメリット ● HTML と PHP が混在 １つのファイルが長くなりやすい 分業がしにくい ● セキュリティ テーマ作成者が対処する必要がある テーマだけでなく WP 全体に影響する
- 6. 出力する関数 / しない関数 出力する関数 ：関数が echo する 出力しない関数：関数が return する 関数により、echo したりしなかったりする 関数の引数で決められることもある
- 7. echo する関数の例 the_date <?php the_date() ;?> と書くと「投稿日」を出力する <?php $data = the_date() ;?> と書いても出力する($data への格納ではない)
- 8. echo しない関数の例 get_the_date <?php get_the_date() ;?> と書いても「投稿日」を出力しない <?php $data = get_the_date() ;?> と書くと「投稿日」を $data へ格納する <?php echo get_the_date() ;?> と書くと「投稿日」を出力する
- 9. echo しない関数 => PHP で処理 例 : 「投稿日」を取得 => 表示形式を変更 ● 「xx 日前」にする ● 「New」を付ける ● 「この記事は古いです」 単に画面表示するだけでなく、 加工して出力できる
- 10. echoする / しないを調べる ソースコード 又は Codex
- 16. $_GET[''] URL のクエリ部分（?の後） 検索等、ユーザーの入力したデータ WP では、検索ワードは $_GET['s']
- 17. echo $_GET['s']; で出力 echo は、変数の値を出力する命令 検索ワード($_GET['s'] の値)を出力
- 18. これでOK!?
- 19. echo $_GET['s']; は危険 外部からの入力をそのまま出力する <?php echo $_GET['s'];?>の検索結果
- 24. XSS(クロスサイトスクリプティング) ユーザーの入力等をそのまま出力する ↓ 悪意あるユーザーがJavaScriptを混入させる ↓ そのスクリプトが実行される * JS が多いが、JS とは限らない
- 26. エスケープとは ＜、＞、＆等の特殊な文字を無効化する 例： ＜ を < にする JavaScriptを混入された場合でも、 単に文字列として表示される
- 32. echo esc_attr($_GET['s']); HTMLタグの属性値にする場合 <form> ... <input name="s" value="<?php echo esc_attr ($_GET['s']);?> /> ... </form>
- 33. WP の関数を使う 原則として、出力エスケープを考慮している 毎回 esc_*** を書く手間が無い エスケープし忘れを防ぐ 多くのユーザーが使用しているので、 未知のバグの可能性が低い
- 36. Twenty Twelve の脆弱性 入力を検証しないで echo していた
- 40. Twenty Twelve の脆弱性 入力を検証しないで echo していた WordPress 3.5 リリース前に発見＝＞改善 オープンソースなので、 多くの人がチェックし、気づいた人が改善
- 43. 関数とエスケープの 話に戻ります
- 48. もっと知りたい方に 発展編 ユーザー入力で HTML タグを認めたい JavaScript にデータを渡したい 徳丸本を読む