webアプリケーションでHTML,JSを生成している箇所

被害者のブラウザでJS実行,偽情報表示

HTMLを生成する際の「<」,「“」に対するエスケープ漏れ

属性値は「”」で囲む HTMLの特殊文字はエスケープ

SQL呼び出しをしている箇所

データ漏洩,改竄,認証回避,プログラム実行,更新

静的プレースホルダを利用してSQL呼び出し

罠サイトの閲覧などで、利用者の意図しない「重要な処理」をサイト上で実行する攻撃

サイト利用者のブラウザ上で攻撃者がスクリプトを実行、クッキーを盗んで成りすましなどをする攻撃

クッキーのみでセッション管理をしているサイトや、HTTP認証，TLSクライアント証明書のみで利用者の識別をしているサイト

利用者の意図しない「重要な処理」を攻撃者が勝手に実行する

「重要な処理」の前に、正規利用者自身のリクエストであることを確認する

iframeやcssで上手く騙して、画面上の特定のボタンを利用者にクリックさせる事で、重要な処理を利用者に意図せず実行させる

「重要な処理」をマウス操作のみで実行でき、かつ認証を要するページ

重要な処理を知らない間に勝手に実行される

「重要な処理」実行ボタンがあるページでX-Frame-Optionsヘッダーを出力する

利用者のセッションIDを何らかの方法で取得することで、第三者が成りすましてサイトにアクセスすること

セッションIDの推測 セッションIDを盗む セッションIDの固定化攻撃

webアプリケーション開発ツールが備えるセッションID管理機構を利用する

クッキーにセッションIDを保存するように設定することで、referrerにセッションIDを保存されないようにする

認証後にセッションIDを変更する

パラメタにより指定したURLにリダイレクトできる機能を悪用して、任意のドメインにリダイレクトさせられる脆弱性のこと

外部から指定したURLにリダイレクト可能な箇所

フィッシングサイトに誘導される→個人情報などを知らずに入力してしまう マルウェアなどを配布されてしまう

・リダイレクト先を固定する ・リダイレクト先のURLを直接指定ではなく番号指定にする ・リダイレクト先をあらかじめ許可かれたドメインのみに限定する

HTTPレスポンスを出力する際のパラメータに改行を仕込むことで、レスポンスヘッダを追加・偽造したり、JS実行したりする攻撃

リダイレクトやクッキー生成など、外部パラメータを元にHTTPレスポンスヘッダを出力している箇所

成りすまし、偽ページ表示、キャッシュ汚染、JS実行

外部パラメタをHTTPレスポンスヘッダとして出力しない。 それが無理なら リダイレクトやクッキー生成は専用APIを使い、パラメタ内の改行文字をチェックする。

・クッキーを利用すべきでない目的で使っている ・クッキーの出力方法に問題がある

理由 　クッキーはセッション変数と違い、外部から書き換えが可能なため 保存すべきでない情報 　ユーザIDや権限情報

・HTTPヘッダインジェクション脆弱性 ・クッキーのセキュア属性不備

secure属性の設定をしていないクッキーは、HTTPS通信をしていたとしても内容が平文で送信されてしまう

理由 セキュア属性をONにするとHTTP通信でクッキーが送れなくなるためHTTPとHTTPS混合のアプリでは使えない 対策 セッションIDを保持するクッキー（セキュア属性OFF）と、トークンを保持するクッキー（セキュア属性ON）の2つを生成 →この2つをチェックする

・メールヘッダインジェクション脆弱性 ・hiddenパラメタによる宛先保持

メールヘッダに改行を仕込んでメールヘッダや本文の追加、変更を行う攻撃

メール送信機能のあるページ

迷惑メール送信、メール内容や宛先改竄、ウイルス添付

まず、メール送信には専用ライブラリを使用する。その上で、 ・外部からのパラメタをメールヘッダに含ませない ・外部パラメタを含める場合は改行チェック

アプリケーションの意図しないファイルに対して閲覧、改竄、削除などを行うこと

ファイル名を外部から指定できるページ

秘密情報漏洩、データの改竄、削除、任意スクリプト実行など

・ファイル名を外部から指定できる ・ファイル名として絶対パスや相対パスの形で異なるディレクトリを指定可能 ・指定されたファイルに対するアクセス権限のチェックをしていない

・外部からファイル名を指定させる仕様をやめる ・ファイル名にディレクトリを含ませないようにする ・指定させるファイル名の文字種を英数字のみに限定する

URLでディレクトリ名を指定した場合にファイル一覧を表示する機能

シェル経由でOSコマンドを呼び出す機能の使い方の不備をつき、意図しないOSコマンドを実行すること

シェルを呼び出す機能のある関数を実行している箇所

情報漏洩、データ改竄、削除など

・シェル経由でOSコマンドを呼び出す際、シェルのメタ文字がエスケープされていない ・シェル機能を呼び出す関数を使用している

・OSコマンド呼び出しを使わない ・シェル呼び出し機能のある関数を使わない ・外部パラメタをコマンドラインのパラメタとして使わない ・OSコマンドに渡すパラメタはエスケープ

・アップロード機能に対するDoS攻撃 ・アップロードファイルによるサーバ側でのスクリプト実行 ・悪意ある仕掛けを含ませたファイルを利用者にDLさせる ・閲覧権限のないファイルのDL

・利用者がアップロードしたファイルをwebサーバの公開ディレクトリに保存される ・アップロード後のファイル名としてphpやaspxなどのサーバスクリプトを示す拡張子が指定可能

DL時に、ブラウザがファイルタイプを誤認することを利用して、スクリプトを利用者にDLさせ実行する

アップロードするファイルの拡張子が許可されたものか確認

・content-typeを正しく設定する ・レスポンスヘッダX-content- type-options:nosniffの指定 ・content-DisPositionを設定（ファイルをアプリケーション上で開かず、DLさえできれば良い場合）

罠サイトを閲覧したユーザーが埋め込まれたPDFのFormCalcスクリプトからHTTPリクエストを送信してしまう。その際ブラウザが保持しているクッキーが攻撃者に伝わってしまう。

・PDFはブラウザ上で開かず、DLを強制する。 ・PDFをobject要素やembed要素で開けないようにする。

好きなファイルをインクルードさせる攻撃

・インクルードするファイルに外部からのパラメタを含めない。 ・含める場合はパラメタの文字を英数字に限定する。

evalの利用法に問題がある場合、外部からスクリプトを送り込み実行できる脆弱性を利用した攻撃

evalを使わない、 使う場合は外部パラメタをevalに渡さない、 それも無理ならパラメタは英数字に限定

デシリアライズされたデータによりオブジェクトが生成され、任意コードの実行が行われる

・そもそもシリアライズ形式を使わない、JSON形式でデータの受け渡しを行う ・セッション変数など書き換え不可能な形でシリアライズデータを受け渡す ・HMACなどを使い、データが改竄されていないことを確認する

XXEは外部ファイルの内容を取り込む機能、これを悪用しwebサーバ内のファイルを不正に読み取られる脆弱性

XMLでなくJSONを使う

複数プロセスやスレッドから同時に利用される共有資源（変数、共有メモリ、ファイル、DBなど）の排他制御が不十分であること

・できるだけ共有資源を使わない ・使う場合、共有資源に対して適切な排他制御を行う

・アプリ側のキャッシュ制御不備 ・キャッシュサーバの設定不備

スクリプトを埋め込む事で、それが実行できてしまう

JSONを返すAPIのMIMEタイプをtext/htmlに誤認させる事でスクリプトを仕込んだJSONがブラウザで表示される

・MIMEタイプを正しく設定する ・X-content-type:nosniffを指定

JSONPコールバック関数の関数名は外部から指定させる場合が多いので、関数名にスクリプトを仕込む

・MIMEタイプを正しく設定 ・コールバック関数名の文字種、文字数を制限

・CSRFトークン（セッション変数にトークンを保持） ・二重送信クッキー ・カスタムリクエストヘッダによる対策

JSONデータは本来スクリプト要素として受け取れないが、スクリプト要素として受け取る手法

・X-content-type-options:nosniff

・JSONPはアクセス制御の仕組みがない ・JSONPは呼び出し元オリジンを制御する機能がない

JS処理の不備が原因のXSS

・innerHTMLやdocument.write()などの使用 ・evalなどの使用 上記などにスクリプトを埋め込んだ文字列が渡されるとXSSが起きる

重要な情報は保存しない

iframeやwindow.openで開いたウィンドウなど、複数のウィンドウが異なるオリジンで協調して動作する環境で、メッセージやデータのやり取りを行う汎用的な仕組みのこと

・メッセージ送信先オリジンを指定しない ・メッセージ送信元オリジンを確認しない