読書メモ ・「これならわかる不正アクセス対策 入門の入門」 ・クッキーが取られるXSS ・SQLインジェクション：認証すり抜け、DBが壊される。意図しないコマンドを注入する攻撃 ・granted：許可（認証）されていることを示すURLパラメータ。ログインしていない状態で、URLに「granted=1」を指定してアクセスできるサイトは問題。パラメータにIDが見えるサイトも危ない。 ・セッションID：ステートレスなHTTPプロトコルに、IDで各通信を関連づけようとするもの ・HIDDEN：メールの送信先や件名をHTMLに設定できる。スパムメール送信プログラムにすることも可能 ・リファラ ・rootにsetuidされたコマンド（実行ファイル）は、一般ユーザが実行しても、root権限で動いてしまう ・テンポラリファイルの作成にも気をつけないと、他人が読めるようなパーミッションで生成されてしまう ・攻撃者には、まずは「手ごわそうだ」と思わせるだけでよい ・弱い輪を集中的に強くするのが防衛の近道。プログラム初心者も「弱い輪」 ・HTTPの「静的なレスポンス」とは、静的なファイルを返すだけ。万人に対して同じレスポンスを返す。「動的なレスポンス」はユーザごとに異なるページを返す ・HTTPはステートレスなプロトコル。状態を持たない。例えばアンケートフォームを表示する通信と、確認画面の通信とは無関係 ・WebサーバとDBサーバは分ける ・SSH1にはセキュリティに問題がある。SSHサーバをインストールすると、SSH1とSSH2の両方が有効になっている ・SELinux：rootユーザさえも読めないファイルを設定できる。root権限を乗っ取られても安心。rootに権限が集中していない ・Google Toolbarはユーザが今、表示しているページに関する情報をGoogleに送っている。このことはToolbarをインストールするときに表示される ・「.htpasswd」（パスワードファイル）など、データファイルはドキュメントルートより上のディレクトリに置く。 ・「.ht」で始まるファイルはHTTP経由では見られない ・PerlやPHPをWebサーバで使用している場合、URLのパラメータに悪意のあるプログラムを起動させるような文字列を入力できてしまう。 サーバ上のパスワードファイルをメールしたり、ファイルを削除したり。 ・index.cgiがフロントコントローラ役となり、表示するページがURLの引数で渡せる場合、見られては困るファイルまで見られる恐れがある⇒ディレクトリ・トラバーサル問題。 ディレクトリをトラバースできないようにするには、そのディレクトリ以下に処理を閉じ込めること。 ・特別な文字列を渡されたらエラーにする方法：Perlでは「-T」オプション。PHPではセーフモード ・Session Fixation問題：セッション固定問題。セッションハイジャックされてしまう。これを防ぐにはセッションIDだけでなく、IPアドレスやユーザエージェントの値も使う。 PerlのCGIではIPアドレスの自動チェック用のオプションがある。 ・CAPTCHA：手書きのアルファベットのような画像を表示し、アルファベットを入力するように求めるフォーム。相手が人間なのかコンピュータなのか見分ける ・エスケープ、サニタイズ：ユーザ入力文字を無害化する変換処理 ・iモードが送信するHTTPヘッダはシンプル。通信量（料）を減らしている ・クッキーに重要なデータを保存すべきでない。クッキーは偽造可能 ・SSLの仕組みではベリサインなどの証明機関から証明された証明書はブラウザでは警告なしで受け入れられる。証明書がどの証明機関から証明を受けているかはブラウザで確認できる ・rootkitをチェックするツール：chkrootkit、Rootkit Hunter ・AIDE：ファイルの改ざんを検地するツール。オープンソース ・IDS：あらかじめ用意された攻撃パターン（シグネチャ）に合致する攻撃をログに残す ・ファイルのパーミッション：「---------（0000）」は究極のパーミッション。rootユーザには読み書き可能。 ・共用型レンタルサーバ：複数の人が１台のサーバを使う。他人にデータを読まれてしまう恐れ ・サーバをデバッグモードで運用していると、余計な情報が漏洩しかねない ・シンボリックリンク：UNIX系OSに特有のファイル。あるファイルの別名。Windowsのショートカット。MacOSのエイリアス ・PATHの値が悪意ある者に変更されてしまう恐れ ・Nessus：セキュリティスキャンするツール。結果を重要度つきでレポート、対処法まで示してくれる。解説付きで問題点を示してくれる -目次- 1 不正アクセスって何ですか？ 2 不正アクセスはどこで起きるのか 3 不正アクセス対策、せめてこれだけは 4 インパクト大、の不正アクセス対策 5 不正アクセス対策、できればこれも 6 もっともっと不正アクセス対策 |