ドライブバイダウンロード

ユーザーがWebサイトを閲覧しただけで、気づかないうちにマルウェアが自動的にダウンロード・実行される攻撃手法。改ざんされた正規サイトでも発生する。

利用者がWebサイトを閲覧しただけで、気付かないうちにマルウェアが自動的にダウンロード・実行される攻撃。改ざんされた正規のWebサイトや不正な広告を経由して感染することが多い。

改ざんされたWebサイトを閲覧しただけで、利用者が気付かないうちにマルウェアを送り込む攻撃。ブラウザやその拡張機能の脆弱性を突くため、常に最新の状態に保つことが対策となる。

改ざんされたWebサイトを閲覧しただけで、利用者が気付かないうちにマルウェアをダウンロード・実行させる攻撃。ブラウザやプラグインの脆弱性を悪用するため、修正プログラムの適用とスクリプト実行の制限が対策となる。

ログイン状態の利用者に罠のページを踏ませ、本人の意図しない更新要求を正規サイトへ送らせる攻撃。ブラウザが自動送信するCookieを悪用する。要求ごとに推測困難なトークンを埋め込み照合することで防止する。

透明化した正規サイトのページを罠ページに重ね、利用者が別のものをクリックしたつもりで正規サイトの操作を実行させる攻撃。X-Frame-OptionsやCSPのframe-ancestorsで、他サイトからのフレーム埋込みを禁止して防ぐ。

Webアプリケーションの入力値がOSのシェルへ渡される箇所に、区切り記号と任意のコマンドを紛れ込ませて実行させる攻撃。サーバの乗っ取りに直結する。シェル経由の外部プログラム呼出しを避け、入力値を検証することで防ぐ。

ファイル名を指定するパラメータに「../」などの相対パスを混ぜ、公開範囲外のファイルを読み出させる攻撃。パスワードファイルや設定ファイルの窃取につながる。ファイル名を直接受け取らない設計や絶対パスの正規化で防ぐ。

転送先URLを外部から自由に指定できる転送処理を悪用し、正規サイトのURLを経由して利用者を偽サイトへ誘導する手口。ドメイン名が正規のものに見えるためフィッシングの信頼性を高める。転送先を許可リストで限定して防ぐ。

利用者のセッションIDを盗む、あるいは推測して、その利用者になりすまして通信を乗っ取る攻撃。推測困難なセッションIDの生成、通信全体のTLS化、Cookieへのsecure・HttpOnly属性の付与、ログイン後のID再発行で防ぐ。