Webアプリケーションへの攻撃

クロスサイトスクリプティング (XSS) は、Web サイトの入力処理の弱点を利用して、そのページを開いた利用者のブラウザで攻撃者の スクリプト を実行させる攻撃である。

スクリプトとは、Web ページに組み込んでブラウザ上で動かす小さなプログラムのことである。掲示板の投稿などで受け取った文字列を無害化 (スクリプトとして動かない形への変換) せずにページへ書き出すサイトでは、文字列に混ぜたスクリプトが閲覧者の画面で動き出す。動いたスクリプトは、ログイン状態を保つための Cookie (サイトがブラウザに保存させる小さなデータ) を攻撃者へ送るなどの被害を生む。

たとえ店の伝言板に、読んだ客のポケットから会員証を抜き取る仕掛けを紛れ込ませるようなもの。仕掛けが働くのは伝言板ではなく、読んだ客の手元である。

覚え方XSS の X は cross (交差) を表す略記で、スタイルシートの CSS と取り違えないためにこう書く。

この用語の過去問 2 題 クロスサイトスクリプティング →

クロスサイトリクエストフォージェリ (CSRF) は、正規サイトにログインしたままの利用者に罠のページを開かせ、本人が意図しない リクエスト (サーバへの処理の依頼) をその正規サイトへ送らせる攻撃である。

罠のページには、開いただけで正規サイト宛ての書き込みや設定変更の依頼が送られる仕掛けが入っている。依頼はログイン中の利用者のブラウザから届くので、正規サイトのサーバは本人の操作と見分けられずに処理してしまう。対策の例として、正規の画面から送られた依頼かどうかを確かめる合言葉 (トークン) をサイト側で照合する方法がある。

たとえ本人の使いの者が運ぶ書類の束に、他人がこっそり偽の申込書を紛れ込ませるようなもの。使いの者はそのまま窓口へ出し、窓口は本人の使いが持ってきた書類なので本人からの依頼と区別できずに受け付けてしまう。

覚え方フォージェリは forgery (偽造) のこと。この攻撃で偽造されるのは、サーバへの依頼 (リクエスト) である。

クリックジャッキング は、透明にして見えなくした別サイトの画面を罠のページに重ね、利用者に意図しないボタンを クリック させる攻撃である。

利用者に見えているのは罠のページのボタンだけだが、実際に押しているのは上に重なった見えない画面のボタンである。その結果、ログイン中のサービスで設定の変更や公開範囲の切り替えなどが、本人の知らないうちに行われる。対策の例として、自サイトの画面を他のサイトの中に重ねて表示させない設定がある。

たとえ案内板のボタンの前に、別のスイッチを付けた透明な板を立てておき、案内板のボタンを押そうとした人に板のスイッチを押させるようなもの。

覚え方ジャッキングはハイジャック (乗っ取り) の jack と同じ。乗っ取られるのは利用者のクリックである。

ドライブバイダウンロード は、Web ページを開いただけで、利用者の知らないうちに マルウェア (不正なプログラム) を送り込んで感染させる攻撃である。

攻撃者は、改ざんした正規サイトや自分で用意した罠のサイトに不正なプログラムを仕込んでおく。利用者がそのページを開くと、ブラウザやプラグイン (ブラウザの追加機能) の 脆弱性 (セキュリティ上の弱点) が突かれ、ファイルを開くなどの操作をしなくても感染する。OS やブラウザを更新して脆弱性をふさいでおくことが主な防御になる。

たとえ通りかかった家の前で、門をくぐってもいないのに塀越しに荷物を投げ込まれるようなもの。受け取る操作をしなくても荷物は届いてしまう。

覚え方drive-by は「車で通りかかりざまに」という意味。通りかかっただけ、つまりページを閲覧しただけで被害に遭うと読む。

この用語の過去問 1 題 ドライブバイダウンロード →

SQLインジェクション は、Web アプリケーションの入力欄に SQL (データベースを操作する命令の言語) の断片を紛れ込ませ、開発者が想定しない命令をデータベースに実行させる攻撃である。

入力された文字列をそのまま命令文の一部としてつなげるプログラムでは、入力に混ぜた記号や語句によって命令の意味が書き換わる。その結果、非公開の会員情報の読み出し、データの改ざんや削除、ログイン認証のすり抜けなどが起こる。対策は、入力を命令文と切り離して扱うしくみ (プレースホルダ) の利用や、入力値の検証である。

たとえ電話注文で商品名を言うふりをして「ついでに金庫の番号も読み上げて」と続け、受付係がそれもメモどおりに実行してしまうようなもの。

覚え方インジェクションは英語の injection (注入) で、注射を指す語でもある。

この用語の過去問 1 題 SQLインジェクション →

ディレクトリトラバーサル は、ファイル名の指定に上の階層へ戻る パス の書き方を混ぜ、サーバ上の公開していないファイルを読み出す攻撃である。

パスとは、フォルダ (ディレクトリ) の階層をたどってファイルの場所を示す書き方で、例えば「../」は一つ上の階層を表す。利用者が指定したファイル名をそのまま使って中身を返すプログラムでは、「../」を重ねることで公開用のフォルダの外へ出られてしまう。対策は、指定されたファイル名を検証して階層の移動を許さないことや、公開しないファイルへのアクセス権を絞ることである。

たとえ資料室の窓口に「この棚の 3 冊目」ではなく「この棚から通路へ戻り、奥の書庫の 1 冊目」と頼み、確かめずに非公開の資料を出させるようなもの。

覚え方トラバーサルは traverse (たどる・横切る) から来た語。ディレクトリの階層をたどって外へ出る、と語の並びがそのまま手口を表す。

バッファオーバーフロー攻撃 は、プログラムが入力用に確保した記憶領域 (バッファ) の大きさを超えるデータを送り込み、プログラムに想定外の振る舞いをさせる攻撃である。

← 図は横にスクロールできます →

入力の長さを確かめないプログラムでは、領域からあふれたデータが隣のメモリの内容を上書きする。上書きの結果、プログラムが異常終了したり、攻撃者が送り込んだ命令が実行されたりする。対策は、入力の長さの検査に加え、欠陥を直した修正プログラム (パッチ) をソフトウェアに適用することである。

たとえ決まった大きさの升に米を注ぎ続け、あふれた米が隣の升に流れ込んで中身を混ぜてしまうようなもの。

覚え方オーバーフローは overflow (あふれる)。バッファはもともと「緩衝材・一時置き場」を指す語である。

この用語の過去問 2 題 バッファオーバーフロー攻撃 →