セキュリティ上の脅威 その２

４． クロスサイト・リクエスト・フォージェリ

（特 徴）
サイト利用者が意図しないところで、何らかの情報変更を無理やり実行させられてしまうこと。

（内 容）
① 　ユーザが、ターゲットサイトにログイン
② 　サーバが、ユーザのブラウザにCookie をセットする
③ 　ユーザが、メールや掲示板などの誘導により、罠の仕掛けられた攻撃者のサイトへアクセス
④ 　ユーザのブラウザに、攻撃コード（特定のサイトにアクセスし、特定のアクションを起こす）が送られる
⑤ 　②でセットされたCookie を利用して、勝手にターゲットサイトにアクセスし、攻撃コードを実行する
　　　（Cookie により、サーバ側は正当なユーザからのアクセスと判断してしまう）

（対 策）
正常な通信と、罠経由での通信の差分を発生させる

1. 第2 セッションID の利用
POST メソッド（GET メソッドは、URL につづけてセッションID を送付するため、セッションID が漏えいする危険がある）を使用し、hidden フィールドに第2 セッションID を埋め込んで送受信することで防御する
Web サイト側では、セッションID とhidden フィールドの第2 セッションID を比較して、一致した者のみ受け付ける

2. トークンの利用
重要な処理の前の画面で、その処理を確認するトークンを送り、Web ブラウザに送り返してもらう（ 例：商品購入画面で、「これでよろしいですか？」画面表示時にトークンを送る）




５． セッション・フィクゼーション

（特 徴）
セッションID を搾取するのではなく、攻撃者の知っているセッションID をユーザに使わせて、あとからユーザになりすます攻撃

（内 容）
① 　攻撃者は、ターゲットサイトからセッションID を取得
② 　罠を仕掛け、ユーザのブラウザにこのセッションID をセットする
③ 　ユーザが仕掛けられたセッションID によりログイン
④ 　ユーザ情報とセッションID が紐づけられる
⑤ 　攻撃者はなりすましに成功する

（対 策）
処理段階に応じてセッションID やトークンを使い分けることで攻撃者に仕掛けられたセッションID ではなりすましができないようにする

①　 ユーザID によりログイン
② 　ログイン後、セッションID を発行
③ 　認証後、認証済みセッションID を発行
④ 　重要な処理前には、トークンを利用



６． SQL インジェクション

（特 徴）
入力フォームでSQL 文を入力すると、データベースへ不正アクセスできてしまう脆弱性で、Web ブラウザからの入力データをチェックすることなくSQL 文に埋め込んでDB サーバで処理をすることで、不正な操作が可能となる

（対 策）
① サニタイジング
「¥」→「¥¥」、「'」 →「"」など特殊文字を変換して、文字列として処理させる

② バインド機能
SQL 文に直接入力変数を使わず「?」（プレースホルダ）を配置し、SQL 文実行時に各変数が、プレースホルダに自動的にあてはめられる。
プレースホルダには、完全な数値や文字列定数としてあてはめられ、特殊文字があってもただの文字列として認識されるため、不正な操作は行われない。