Web攻撃と事前調査

要点と定義

情報セキュリティの攻撃手法は、どこを狙い、何を起こすかで見分けます。Webアプリケーション、利用者のブラウザー、名前解決、ネットワークサービスなど、攻撃の対象と結果を結び付けて考えます。

CAPTCHAは、人には読めてもプログラムには読み取りにくい画像などを使い、自動入力を防ぐ仕組みです。自動入力対策として、人とプログラムの判読の差を利用しているかが判断の要点です。

クロスサイトスクリプティング（XSS）は、Webアプリケーションの入力や出力処理の不備を利用し、利用者のブラウザーで悪意あるスクリプトを実行させる攻撃です。 罠のページをきっかけに脆弱なサイトから応答を返させる場合も、利用者のブラウザーでスクリプトが実行される点が判断の軸です。

クリックジャッキングは、画面上に透明な別サイトの要素を重ね、利用者に意図しないサイト上の操作をさせる攻撃です。 ドライブバイダウンロード攻撃は、Webサイトの閲覧をきっかけに、利用者が気付かないうちに不正プログラムをダウンロードさせる手口です。

ポートスキャンは、接続可能なポートや稼働中のサービスを調べる事前調査です。攻撃者は、攻撃に利用できそうなサービスを探すために行います。

DNSキャッシュポイズニングは、DNSサーバーのキャッシュに偽の名前解決情報を登録させ、利用者を意図しないサーバーへ誘導する攻撃です。 ディレクトリトラバーサルは、細工したパス名を使い、本来許可されていないファイルにアクセスする攻撃です。

適用条件と例

攻撃手法を判断するときは、きっかけ、操作される対象、起こる結果を順に整理します。たとえば、閲覧後に不正プログラムが端末へ届くならドライブバイダウンロード、透明な重ね画面で意図しないボタンを押させるならクリックジャッキングです。

自作例として、商品検索欄に入力した文字が、適切な処理を経ずに別の利用者の画面へ表示され、そこでスクリプトが実行される状況を考えます。問題の中心がブラウザーでのスクリプト実行ならXSSです。一方、入力値によりデータベースの命令が意図せず実行される状況は別の攻撃なので、結果を区別します。