ディレクトリトラバーサル

Webアプリケーションのファイルパス指定の脆弱性を悪用し、「../」などの文字列で上位ディレクトリを辿り、本来アクセスできないファイルを不正に閲覧する攻撃。

ファイル名の指定に相対パスを紛れ込ませ、公開範囲外のファイルを不正に読み出す攻撃。パス名の検証や、利用者からのファイル名指定を許さない設計で防ぐ。

ファイル名の指定に「../」などを混ぜて、本来公開していない上位ディレクトリのファイルを読み出す攻撃。パス名の直接指定を避け、入力値を検査することで防ぐ。

ファイル名を指定するパラメータに「../」などの相対パスを混ぜ、公開範囲外のファイルを読み出させる攻撃。パスワードファイルや設定ファイルの窃取につながる。ファイル名を直接受け取らない設計や絶対パスの正規化で防ぐ。

Webアプリケーションのファイルパス指定の脆弱性を利用して、「../」などの相対パス表記により、本来アクセスが許可されていないディレクトリやファイルに不正にアクセスする攻撃。対策としてパス名やファイル名をパラメータとして受け取らない設計、入力値のバリデーションがある。

動作中のアプリケーションに外部から検査用のリクエストを送り、その応答から脆弱性を検出する検査手法。攻撃者と同じ視点で、XSSやSQLインジェクション、設定不備などを実行環境を含めて確認できる。ソースコードがなくても実施できるが、問題の箇所をコード上で特定しにくく、検査が到達しない機能は確認できない。

Webアプリケーションのセキュリティに取り組む国際的なコミュニティOWASPが、Webアプリケーションの重大なセキュリティリスクを10項目にまとめ、数年ごとに改訂して公表しているリスト。アクセス制御の不備、インジェクション、セキュリティ設定のミスなどが挙げられ、開発やセキュリティ診断の目安として広く使われる。

Webアプリケーションが利用者の入力をHTTPレスポンスヘッダに出力する際、改行コードを含む値をそのまま使うことで、攻撃者が任意のヘッダや本文を追加できてしまう攻撃。偽のCookieの設定や偽のページの表示に悪用され、ヘッダを出力するAPIの使用や改行コードの除去で対策する。

Webアプリケーションの入力欄などにSQL文の一部となる文字列を入力し、アプリケーションが組み立てるSQL文の意味を変えて、データベースの不正な参照、改ざん、削除を行う攻撃。プレースホルダを使ってSQL文を組み立てることが根本的な対策である。

Webアプリケーションが外部プログラムの呼出しなどでOSのコマンドを実行する際、入力値に紛れ込ませた不正なコマンドを実行させる攻撃。サーバ上で任意のコマンドが実行され、情報の窃取や改ざん、マルウェアの設置につながる。シェルを経由する機能を使わないことが根本的な対策である。

Webアプリケーションが利用者の入力を適切にエスケープせずにWebページへ出力する脆弱性を突き、攻撃者が仕込んだスクリプトを閲覧者のWebブラウザ上で実行させる攻撃。XSSと略し、Cookieの窃取によるセッションハイジャックや偽の入力フォームの表示などに悪用される。