@pinebber 社内勉強会用資料

1. Webアプリのセキュリティ対策入門(仮)

2. 目次
１．はじめに
２．SQLインジェクション
３．クロスサイトスクリプティング（XSS)
４．クロスサイトリクエストフォージェリ(CSRF)
５．今回のまとめ

3. １．はじめに

4. 今回攻撃対象とするデモアプリ紹介
個人商店のお手軽通販サイトを想定
クオリティについてはお察しください（作成3時間程度）
ログイン機能
レビューを商品別に
書き込み
商品詳細画面
構成：JDK1.7 + Tomcat6.0 + HSQLDB
商品情報は
DBで管理

5. ２．SQLインジェクション

6. ２．SQLインジェクション
システムとして意図しないSQLが実行され、データベースの
内容の盗難・改ざんが行われることを言う。

7. SQLインジェクション デモンストレーション

8. 想定される被害
１．データベース内の情報改ざん
２．不正ログイン
３．データベース内情報の漏えい（個人情報など）
などなど・・・

9. SQLインジェクションが発生する仕組み
アプリ
パスワード
ID
DB
ログイン認証
SELECT COUNT(*) FROM USERS WHERE USERID=‘
‘ AND PASSWORD=‘
‘;
ユーザが入力したID
ユーザが入力したPASS
文字列を連結してSQLを
生成し、DBに対して発行
例えばこんなアプリ

10. SQLインジェクションが発生する仕組み
アプリ
パスワード
hogePASS ’ OR ‘A’ = ‘A
ID
hogeID
DB
ログイン認証
SELECT COUNT(*) FROM USERS WHERE USERID=‘
‘ AND PASSWORD=‘
‘;
hogeID
hogePASS’ OR ‘A’=‘A
パスワード部分にインジェクショ
ンされたSQLによりPASSWORDの
部分は常にTRUE
パスワード認証を回避！

11. 実際にあったSQLインジェクション
2005年5月に「価格.com」で発生。
・商品情報を管理するデータベースに対してSQLインジェクションが行われた。
・これにより、ホームページの改ざん、メールアドレスが流出し、閉鎖騒動ま
で発展した。
国内外問わず頻繁に発生しており、直近のIPAへの届出状況（※)によると、未だ
にソフトウェアの脆弱性として届出が行われている状況。
※ソフトウェア等の脆弱性関連情報に関する届出状況[2014年第1四半期（1月～3月）]
http://www.ipa.go.jp/security/vuln/report/vuln2014q1.html

12. 対策方法
(方法１) 入力された値からクオートなど、SQLインジェクションとなり得る値を
除去する
実装次第で除去漏れが発生するし、何より毎回仕組みを作るのは面倒
(方法２) 先人たちが作った仕組みを使う
実績があり、仕組みを作らなくて済む！楽で確実！
却下

13. 具体的な対策方法
Javaでの例（大体の言語で同等の仕組みがあるので利用すること）
修正前
String sql= “ SELECT COUNT(*) FROM USERS WHERE USERID=‘ “ + userId + “‘ AND PASSWORD=‘ “ + password + “’”;
SQLの実行
修正後
String sql = “ SELECT COUNT(*) FROM USERS WHERE USERID= ? AND PASSWORD= ?”;
PreparedStatement pst = conn..prepareStatement(sql);
入力値の埋め込み、SQLの実行
PreparedStatementを使用することで、JDBC
ドライバによって自動的にエスケープが行
われる！

14. ３．クロスサイトスクリプティング

15. ３．クロスサイトスクリプティング
入力値をそのまま画面上に出力する事により、意図しない
コードを画面上に出力させること。
XSSと略されることが多い。

16. クロスサイトスクリプティングデモンストレーション

17. 想定される被害
１．セッションハイジャック（不正ログインなどが可能）
２．ページ書き換えによる不正サイトの構築
３．不正プログラムの強制的なダウンロード
などなど・・・

18. クロスサイトスクリプティングが発生する仕組み
アプリ
入力値
例えばこんなアプリ
入力値
入力された値を
画面に出力

19. クロスサイトスクリプティングが発生する仕組み
アプリ
例えばこんなアプリ
ほげ
JavaScriptコードがそのま
ま解釈され、「ほげ」とい
うアラートが出力される
<script>alert(“ほげ”);</script>
画面の書き換えが可能！

20. 対策方法
(方法１) 入力された値からHTMLやJavaScriptとして解釈される文字を独力で
除去する
実装次第で除去漏れが発生するし、何より毎回仕組みを作るのは面倒
(方法２) 先人たちが作った仕組みを使う
実績があり、仕組みを作らなくて済む！楽で確実！
却下

21. 具体的な対策方法
Strutsを使った例
<bean:write name=“hoge” />

22. ４．クロスサイトリクエストフォージェリ

23. ４．クロスサイトリクエストフォージェリ
とりあえずデモンストレーションを見よう！
CSRFやXSRFと略されることが多い。

24. クロスサイトスクリプティングデモンストレーション

25. 想定される被害
１．意図しない犯行声明の書き込みによる冤罪
などなど・・・

26. クロスサイトリクエストフォージェリが発生する仕組み
デモンストレーションを用いて説明

27. 実際にあったクロスサイトリクエストフォージェリ
2012年に発生したPC遠隔操作事件の１つ
・小学校への無差別殺人予告が横浜市の意見投稿コーナーに書き込まれ
た事件。
・クロスサイトリクエストリクエストフォージェリで他人に犯行予告を行わせた。

28. 対策方法
・別サイトからのリクエストは受け付けないようにチェックする。
（リファラのドメインチェック、トークンチェックなど）

29. ５．今回のまとめ

30. ５．今回のまとめ
自分で処理を作りこまない事が大事。
先人達が作ったものを利用しよう。