オープンリダイレクト

転送先URLを外部から自由に指定できる転送処理を悪用し、正規サイトのURLを経由して利用者を偽サイトへ誘導する手口。ドメイン名が正規のものに見えるためフィッシングの信頼性を高める。転送先を許可リストで限定して防ぐ。

リダイレクト先URLを外部から自由に指定できてしまうWebアプリケーションの脆弱性。正規サイトのドメインを経由してフィッシングサイトへ誘導されるため、遷移先をあらかじめ許可した範囲に限定する必要がある。

動作中のアプリケーションに外部から検査用のリクエストを送り、その応答から脆弱性を検出する検査手法。攻撃者と同じ視点で、XSSやSQLインジェクション、設定不備などを実行環境を含めて確認できる。ソースコードがなくても実施できるが、問題の箇所をコード上で特定しにくく、検査が到達しない機能は確認できない。

ネットワークを通じたコンピュータへの不正アクセス行為と、それを助長する行為を禁止する法律で、正式名称は「不正アクセス行為の禁止等に関する法律」。他人のID・パスワードの無断使用や、脆弱性を突いた侵入を禁止するほか、他人の識別符号の不正な取得・保管・提供や、フィッシングのような識別符号の入力の不正な要求も処罰の対象とする。アクセス管理者には、識別符号の適切な管理などの防御措置を講じる努力義務を課している。

Webアプリケーションのセキュリティに取り組む国際的なコミュニティOWASPが、Webアプリケーションの重大なセキュリティリスクを10項目にまとめ、数年ごとに改訂して公表しているリスト。アクセス制御の不備、インジェクション、セキュリティ設定のミスなどが挙げられ、開発やセキュリティ診断の目安として広く使われる。

Webアプリケーションが利用者の入力をHTTPレスポンスヘッダに出力する際、改行コードを含む値をそのまま使うことで、攻撃者が任意のヘッダや本文を追加できてしまう攻撃。偽のCookieの設定や偽のページの表示に悪用され、ヘッダを出力するAPIの使用や改行コードの除去で対策する。

Webアプリケーションの入力欄などにSQL文の一部となる文字列を入力し、アプリケーションが組み立てるSQL文の意味を変えて、データベースの不正な参照、改ざん、削除を行う攻撃。プレースホルダを使ってSQL文を組み立てることが根本的な対策である。

Webアプリケーションが外部プログラムの呼出しなどでOSのコマンドを実行する際、入力値に紛れ込ませた不正なコマンドを実行させる攻撃。サーバ上で任意のコマンドが実行され、情報の窃取や改ざん、マルウェアの設置につながる。シェルを経由する機能を使わないことが根本的な対策である。