IPAセキュリティセンター
IPA 独立行政法人 情報処理推進機構 からサイトに脆弱性があるとの届け出があったという連絡がありました。ついては対応し完了報告を提出して下さい。という内容でした。
Webアプリケーションの脆弱性を突いた攻撃手法
一般的なWebアプリケーションの脆弱性とは，「入出力されるデータに対する考慮不足，あるいは処理忘れ」ということである（ソフトウェアセキュリティホール）
- XSS:クロスサイトプリンティング
- 悪意を持ったユーザがフォームなどを通してJavaScriptなどのスクリプトコードを入力した時に、プログラム側に適切なチェック機構がないと、そのスクリプト内容がそのままHTMLに埋め込まれ、ページを閲覧したコンピュータでスクリプトが実行されてしまうことがある。
- SQLインジェクション
- データベースと連動したWebサイトで、データベースへの問い合わせや操作を行なうプログラムにパラメータとしてSQL文の断片を与えることにより、データベースを改ざんしたり不正に情報を入手する攻撃。また、そのような攻撃を許してしまうプログラムの脆弱性のこと。
- HTTPヘッダインジェクション
- サーバーからブラウザに送信される「HTTPレスポンス・ヘッダー」の中に意図しないフィールドを注入する手法である。Webアプリケーションの中には，ユーザーの入力値などをレスポンス・ヘッダーに「そのまま」返すものがある。その代表例が，Cookieの設定（Set-Cookie）やリダイレクション（Location）である。
- ディレクトリトラバーサル
- ディレクトリ・トラバーサルとは，Webサーバーの管理者が公開（許可）していないファイルにアクセスする攻撃手法です。トラバーサル（トラバース）は「横断する」という意味で，公開されているディレクトリから目的のディレクトリへ横断するイメージから命名されています。
