すぐできるWeb制作時のセキュリティTips

すぐできるWeb制作時の
セキュリティTips
Yoshinori Matsumoto
2013/01/28
加筆修正 2013/01/31

目次

• 自己紹介
• Webセキュリティの現状
• よくあるセキュリティ事例と対策
• 古いソフトウェアでの注意点
• 見逃しがちな設定
すぐできるWeb制作時のセキュリティTips 2013/01/28 @ym405nm http://ym405nm.info

自己紹介
• 名前：松本悦宜(よしのり)
• Twitter : @ym405nm
• 会社：神戸デジタル・ラボ
• 業務：Webプログラマー、セキュリティエンジニ
ア、セキュリティコンサルタント

セキュリティ JavaScript HTML5 Android Web
神戸ITフェスティバル讃岐うどん小ネタ

自己紹介

• セキュリティ診断
事例 : ECサイト
管理者アカウントがのっとられないか
商品在庫・値段が改ざんされないか
顧客情報が漏洩しないか
攻撃の踏み台にされないか

擬似的に攻撃して検証


Webセキュリティの現状

Webアプリをつくりはじめるにあたってのセキュリティの現状

これから書き始める人の悩み

• そうだ、Webアプリをつくろう！
•サーバサイド
•DOMツリー
•JavaScript
•Ajax
理解することがいっぱいある
•新要素
•ブラウザ依存
•スマホ対応
など


• そうだ、Webアプリをつくろう！
•セキュリティ？？
クロスサイトスクリプティング、SQLインジェクショ
ン、クロスサイトリクエストフォージェリ、バッファ・
オーバーフロー、OSコマンドインジェクション、クロ
スサイトトレーシング、ブルートフォースアタック

セキュリティなんてやってられへん！！



• 重要なサイトならともかくすべてのセキュリ
ティチェックを行うのは大変！

• かといって全く対策しないのも・・・
• セキュリティにも優先順位があるはず
重要なセキュリティ問題と

Webアプリまわりの注意点をご紹介

よくあるセキュリティ
事例と対策

よく話題にあがるセキュリティホール
ついつい対策が漏れてしまうことにより、
大きな被害を与えるものを紹介

XSS

• XSS (Cross Site Scripting)
• 勝手に攻撃者がJavaScriptを実行してしまう
手法

• 攻撃者が作ったコードが他の人のブラウザで
も実行される

• サイト改ざん、他サイトへの誘導

XSS
• すごい簡単なサンプル
簡易おみくじ

テキストボックスに名前を入れ
て、送信ボタンを押すと、

フォームの下に名前とおみくじ結
果が出力される


XSS
• よくある設定漏れ
簡易おみくじ2

テキストボックスに名前を入れ
て、送信ボタンを押すと、

次の画面のテキストボックス内の
初期値に名前が入っている。


XSS
対策

• 出力される値がタグを作らないように、
HTMLの特殊文字をエスケープする

• エスケープする関数を使用する
• 自動エスケープされるフレームワークの機能を
使用する


SQLインジェクション

• 攻撃者がSQL文を改ざんして、勝手に好きな
SQL文を追加する

• 顧客情報やコンテツ情報がSQLに入っている
と大きな被害になる

• 情報漏えい、サイト改ざん

ログインフォーム

SELECT * FROM USERS
WHERE ID=”___” and PASS = “___”
ID, PASS SQL文

ログイン可否結果
server DB


ログインフォーム

改ざんPASS = “___”
SELECT * FROM USERS
WHERE ID=”___” and

ログインできる
攻撃コード SQL文

ログインOK 結果
server DB


• よくある事例
実装例
$query = "SELECT * FROM usr WHERE uid = '$uid' AND pass = '$passh';
$result = pg_query($conn, $query);

攻撃例 ID : taro'--

コメントアウト
SQL として扱われる
SELECT * FROM usr WHERE uid = 'taro'--' AND pass ='eefd5bc2...'


対策

• SQLとして扱われる記号をエスケープする
• 文字列連結でSQLを使用しない
• プレースホルダーを利用して対策する


対策

$stmt = $db->prepare('SELECT * FROM atable WHERE name=? and num=?',
array('text', 'integer'), array('text', 'text', 'integer'));
$rs = $stmt->execute(array($name, $num)); // 文字列型と整数型の変数

• PHPとMDB2を使った実装方法

CSRF

• クロスサイトリクエストフォージェリー
Cross Site Request Forgeries

• サイトにログインしたユーザが、悪意のある
外部サイトにより、ユーザが予期しない処理
を実行させられてしまう問題

• 「遠隔操作ウィルス」で話題に

書き込みの流れと手口

犯行声明メールや事件の経緯から見る流れは、以下のように想像できる。

１：真犯人がCSRF脆弱性のあるサイトを探す

CSRF脆弱性によって、外部から書き込みできる掲示板・SNSなどを探す。問題となった横浜市の掲
示板はCSRF脆弱性を持っていた（現在は対策済み）。

２：CSRF脆弱性を攻撃するページを作成

真犯人が攻撃用のページを、独自サイトなどに作成。このページを開くと、自動的に対象の掲示
板・SNSなどに決められたメッセージ（今回の場合は殺人予告）を書き込む。

３：攻撃用ページへのリンクを２ちゃんねるなどに書き込む

真犯人が攻撃用ページへのリンクを、２ちゃんねるなどの掲示板に書きこむ。今回の事件では、ソ
フトウエアのダウンロードリンクとして書き込まれたようだ。

４：被害者がリンクをクリックしてしまう

被害者がリンクをクリックし、攻撃用ページを開いてしまう。

５：対象の掲示板・SNSに勝手にメッセージが書き込まれる
（2012年10月26日読売新聞）

対策とデモは次のセッションで時間があれば

古いソフトウェアでの
注意点
Webアプリはいろいろなソフトウェア、ライブラリから構成されています。
実装はしっかりしているつもりでも
これらのソフトウェアやライブラリが原因で
セキュリティホールが作られる可能性もあります

JAVA

• Java7に任意のコードが実行される可能性が
見つかった(2013年1月)

• ウェブを閲覧するだけで任意のコードが実行
し、閲覧者の端末が乗っ取られる可能性

• 大きく報道され、ブラウザでJavaを切った
り、アンインストールするユーザが増えた


http://jvn.jp/cert/JVNTA13-010A/

Ruby

• Ruby on railsに深刻な脆弱性(2013年1月)
• 認証システムの迂回、任意のSQL挿入、任意
のコード挿入と実行、Railsアプリケーション
に対するサービス妨害（DoS）攻撃などに利
用される可能性。

• Redmineにも影響があり、業務システムにも
影響。

ソフトウェアの脆弱性

• 原則的に次回バージョンアップで対策
• 発見されたもののなかには、攻撃コードが公
開され、セキュリティツールにより自動化で
きる可能性がある

• 対策をするためには、利用者がパッチをあて
るかバージョンアップをしないといけない


PHP


jQuery

• 多くのサイトでjQueryが使用されている
• jQuery, bootstrap...
• ちょっと脆弱性が見つかると大変


対策

• 脆弱性情報を確認する
• 更新情報に隠れている場合もあり
• 無理のない範囲で、素早く対応できるように
する


見逃しがちな設定

実装だけでなく、サーバの設定の注意も必要

サーバのログイン情報
パスワード認証

ログイン＆パスワード

ログイン結果
server

• 各サイトVPSの初期設定にするとパスワード
認証になる

• パスワードの扱い方、辞書攻撃に注意が必要

危険なパスワード例

俺調べ

対策

鍵生成、公開鍵登録
鍵認証

ログイン結果 server

• 公開鍵を登録して鍵認証を行う

サーバ情報の隠蔽

• エラーページやHTTPヘッダーに使用している
ソフトウェアの名前とバージョン情報が表示さ
れる

サーバ情報の隠蔽

• 意外とphpinfo.php が残ってるサイトも。。。

対策

• サーバの情報は出来る限り隠蔽する。特にエ
ラーページとHTTPヘッダは注意

• 推測されやすいサイトにも注意する(test.php,
phpinfo.php, /admin, /wp-admin など)


まとめ

• Webセキュリティは難しいが、設定１つで修
正できるものもある。

• 多くの攻撃は、簡単な実装ミス・設定ミスか
ら来ているものもおおい


参考文献

安全なウェブサイトの作り方

http://www.ipa.go.jp/security/vuln/
websecurity.html


すぐできるWeb制作時のセキュリティTips

Recommended

Recommended

More Related Content

What's hot

What's hot (20)

Viewers also liked

Viewers also liked (20)

Similar to すぐできるWeb制作時のセキュリティTips

Similar to すぐできるWeb制作時のセキュリティTips (20)

More from yoshinori matsumoto

More from yoshinori matsumoto (16)

すぐできるWeb制作時のセキュリティTips