安全なウェブサイトの作り方基礎編
•
1 gostou•1,198 visualizações
第62回 WEB TOUCH MEETING での登壇資料をアップロードしています。 皆さんは、ウェブサイトに潜む脆弱性にどういった物があるかご存知ありますか？ システム開発をメインにやられている職種、システムエンジニア、プログラマーだけでなく、ウェブサイトの制作に関わる広い範囲の職種の方に知っておいて欲しいと言う思いから、初級レベルのさわりの部分を説明しています。 ■対象範囲 ・デザイナー ・HTMLコーダー ・新米プログラマー ・ウェブサイトのテストをする方々 etc...
Recomendados
Mais conteúdo relacionado
Mais procurados
Mais procurados (20)
Destaque
Semelhante a 安全なウェブサイトの作り方基礎編
Semelhante a 安全なウェブサイトの作り方基礎編 (20)
Último
Último (9)
安全なウェブサイトの作り方基礎編
- 1. 安全なウェブサイトの作り方基礎編 WEB TOUCH MEETING 62 2013.12.14 Funaffect 渡邉 勇
- 2. 自己紹介 渡邉 勇 システム保守運用会社にてIT業界のキャリアをスタート わたなべ いさむ 100台規模に渡る、Windows サーバの構築保守運用を 手掛け、2003年 楽天グループ会社に入社後、システム 開発会社、インターネット上での配信プラットフォーム 事業社、WEBサービス事業社を経て現在に至る ITアーキテクト 各種ASPやWEBサービス開発に携わる傍ら、Linuxサー バの構築、ネットワーク機器設定等、プログラムからイ ンフラまでマルチにこなす 趣味 サッカー観戦
- 5. 脆弱性ってどんなのがあるの？ パスワード不備 SQLインジェクション クロスサイト・ スクリプティング • 個⼈情報流出の危険性 • 個⼈情報改ざんの危険性 • 個⼈情報流出の危険性。 • 情報改ざんの危険性 • フィッシング詐欺被害の危険性
- 6. 脆弱性ってどんなのがあるの？ CSRF （クロスサイト・リクエスト・ フォージュリ） ディレクトリ・トラバーサル OSコマンド・インジェクション • なりすまし被害の危険性 • 非公開情報流出の危険性 • ウェブサイト乗っ取りの危険性
- 7. 脆弱性ってどんなのがあるの？ セッション管理の不備 HTTPヘッダ・ インジェクション HTTPSの不適切な利⽤ • なりすまし被害の危険性 • フィッシング詐欺被害の危険性 • フィッシング詐欺助⻑の危険性
- 9. 脆弱性ってどんなのがあるの？ 本日の内容 パスワード不備 － 個⼈情報の流出 クロスサイト・スクリプティング － フィッシング詐欺被害 SQLインジェクション － 情報改ざん CMSのバージョン管理不備 － あらゆる脆弱性の危険性 ※ 例⽂はすべてPHPで記載しています
- 15. パスワード不備 パスワードは● ● ● ●に <input type=“password”> を指定する
- 44. SQLインジェクション 対策方法
- 45. SQLインジェクション の前に
- 47. SQLインジェクション ■データを取得したい SELECT⽂ SELECT * FROM hoge; テーブルhogeから全て(*)の情報を取得する
- 48. SQLインジェクション ■条件で絞り込んでデータを取得したい SELECT * FROM hoge WHERE loginid=‘admin’ AND password=‘password’; hogeからログインIDがadmin,パスワードがpasswordの ユーザー情報を取得する
- 50. SQLインジェクション このようなイメージ 1 pg_connect($conn); 2 $query = "SELECT userid,loginid,password FROM t_user WHERE loginid = '$lid' AND pass = '$pass‘”; 3 $lid にログインID $pass にパスワード 4 $result = pg_query($conn, $query);
- 51. SQLインジェクション $lid に悪意あるSQL⽂が指定された場合、SQL インジェクション攻撃が成功してしまう 1 <?php 2 $query = "SELECT userid,loginid,password FROM usr WHERE loginid = '$lid' AND pass = '$pass‘”; 3 4 $result = pg_query($conn, $query);
- 53. SQLインジェクション 1 <?php 2 $query = "SELECT userid,loginid,password FROM usr WHERE loginid = ‘admin' AND pass = ‘’ AND 1=1;-- ‘”; 3 4 $result = pg_query($conn, $query);
- 55. SQLインジェクション 対策方法
- 57. SQLインジェクション パラメータにSQL ⽂を直接指定しない 例えばこんなURL http://sql.injection.com/ranking/?order=desc ※ SQL ⽂をそのまま指定するなどしていたら論外
- 59. SQLインジェクション Warning: pg_query(): Query failed: ERROR: relation "t_user" does not exist LINE 1: SELECT userid,loginid,password FROM t_user WHERE loginid = 'adm... ^ in /var/www/sql.injection.com/htdocs/test.php on line 9 Call Stack: 0.0003 239920 1. {main}() /var/www/sql.injection.com/htdocs/test.php:0 0.0055 241960 2. pg_query() /var/www/sql.injection.com/htdocs/test.php:9 言語ごとのエラー表示に関する設定を⾒直すこと
- 63. CMSのバージョン管理不備 ∧__∧ （ ・∀・） 事件は会議室で起きてるんじゃない！ （ ∪ ∪ 現場で起きてるんだ！ と__）＿）
- 79. 質疑応答
- 80. ご清聴ありがとうございました