leeyg7777のブログ

ウェブサイト脆弱性により対応法

Tue, 07 Apr 2015 01:21:34 +0900

ウェブアプリケーションにおける脆弱性対策について、その性質を基に「根本的解決」
と「保険的対策」の 2 つに分類しています。

根本的解決
本書における「根本的解決」は、「脆弱性を作り込まない実装」を実現する手法です。根本的解決を
実施することにより、その脆弱性を狙った攻撃が無効化されることを期待できます。
■ 保険的対策
本書における「保険的対策」は、「攻撃による影響を軽減する対策」です。根本的解決とは違って、
脆弱性の原因そのものを無くすものではありませんが、攻撃から被害までの次の各フェーズにおいて、
それぞれの影響を軽減できます。
 攻撃される可能性を低減する
（例：攻撃につながるヒントを与えない）
 攻撃された場合に、脆弱性を突かれる可能性を低減する
（例：入力から攻撃に使われるデータをサニタイズ（無効化）する）
 脆弱性を突かれた場合に、被害範囲を最小化する
（例：アクセス制御）
 被害が生じた場合に、早期に知る
（例：事後通知）

保険的対策は、対策の内容によっては、本来の機能を制限することになるものもあるので、そのような副作用の影響も考慮する必要があります。

1. ウェブアプリケーションのセキュリティ実装
１） SQL インジェクション
・SQL 文の組み立て方法に問題がある場合、攻撃によってデータベースの不正利用をまねく可能性があります。このような問題を「SQL インジェクションの脆弱性」と呼びます。
・対応方法
　→ SQL 文の組み立ては全てプレースホルダで実装する。
　→ SQL 文の組み立てを文字列連結により行う場合は、エスケープ処理等を行うデータベースエンジンの API を用いて、SQL 文のリテラルを正しく構成する。

２） OS コマンド・インジェクション
・ウェブアプリケーションによっては、外部からの攻撃により、ウェブサーバの OS コマンドを不正に実行
・対応方法
　→ ウェブアプリケーションに利用されている言語によっては、シェルを起動できる機能を持つものがあります。たとえば、Perl の open 関数等です。Perl の open 関数は、引数として与えるファイルパスに「|」（パイプ）を使うことで OS コマンドを実行できるため、外部からの入力値を引数として利用する実装は危険です。シェルを起動できる言語機能の利用は避けて、他の関数等で代替してください。Perl でファイルを開く場合、sysopen 関数を利用すればシェルを起動することはありません。
　→ シェルを起動できる言語機能の引数を構成する変数に対し、引数に埋め込む前にチェックをかけ、本来想定する動作のみを実行するように実装

３）パス名パラメータの未チェック／ディレクトリ・トラバーサル
・外部からのパラメータにウェブサーバ内のファイル名を直接指定しているものがあります。このようなウェブアプリケーションでは、ファイル名指定の実装に問題がある場合、攻撃者に任意のファイルを指定され、ウェブアプリケーションが意図しない処理を行ってしまう可能性があります。
・対応方法
　→ ウェブサーバ内に保管しているファイルへのアクセス権限が正しく管理
　→ 入力パラメータの値から、「/」、「../」、「..\」等、OS のパス名解釈でディレクトリを指定できる文字列を検出した場合は、処理を中止します。

４）セッション管理の不備
・セッション ID の発行や管理に不備がある場合、悪意のある人にログイン中の利用者のセッション ID を不正に取得され、その利用者になりすましてアクセスされてしまう可能性があります。この問題を悪用した攻撃手法を、「セッション・ハイジャック」と呼びます。
・対応方法
　→ セッション ID を推測が困難なものにする。
　→ セッション ID を URL パラメータに格納しない。
　→ HTTPS 通信で利用する Cookie には secure 属性を加える。
　→ ログイン成功後に、新しくセッションを開始する。
　→ ログイン成功後に、既存のセッション ID とは別に秘密情報を発行し、ページの遷移
ごとにその値を確認する。
　→ セッション ID を固定値にしない。
　→ セッション ID を Cookie にセットする場合、有効期限の設定に注意する。

５）クロスサイト・スクリプティング
・ウェブページへの出力処理に問題がある場合、そのウェブページにスクリプト等を埋め込まれてしまいます。この問題を「クロスサイト・スクリプティングの脆弱性」と呼びます。
・対応方法
　→ ウェブページに出力する全ての要素に対して、エスケープ処理を施す。
　→ URL を出力するときは、「http://」や「https://」で始まる URL のみを許可する。
　→ script要素の内容を動的に生成しない。
　→ スタイルシートを任意のサイトから取り込めるようにしない。
　→ 入力値の内容チェックを行う。
　→ 入力された HTML テキストから、スクリプトに該当する文字列を排除する。
　→ HTTP レスポンスヘッダの Content-Type フィールドに文字コード（charset）を指定する。
６） CSRF（クロスサイト・リクエスト・フォージェリ）
・ウェブサイトの中には、サービスの提供に際しログイン機能を設けているものがあります。ここで、ログインした利用者からのリクエストについて、その利用者が意図したリクエストであるかどうかを識別する仕組みを持たないウェブサイトは、外部サイトを経由した悪意のあるリクエストを受け入れてしまう場合があります。このようなウェブサイトにログインした利用者は、悪意のある人が用意した罠により、利用者が予期しない処理を実行させられてしまう可能性があります。このような問題を「CSRF（Cross-Site RequestForgeries／クロスサイト・リクエスト・フォージェリ）の脆弱性」と呼び、これを悪用した攻撃を、「CSRF 攻撃」と呼びます。
・対応方法
　→ 処理を実行するページを POST メソッドでアクセスするようにし、その「hidden パラメータ」に秘密情報が挿入されるよう、前のページを自動生成して、実行ページではその値が正しい場合のみ処理を実行する。
　→ 処理を実行する直前のページで再度パスワードの入力を求め、実行ページでは、再度入力されたパスワードが正しい場合のみ処理を実行する。
　→ Referer が正しいリンク元かを確認し、正しい場合のみ処理を実行する。
　→ 重要な操作を行った際に、その旨を登録済みのメールアドレスに自動送信する。

７） HTTP ヘッダ・インジェクション
・対応方法
　→ 改行コードを適切に処理するヘッダ出力用 API を利用できない場合は、改行を許可しないよう、開発者自身で適切な処理を実装する。
　→ 外部からの入力の全てについて、改行コードを削除する。

８）メールヘッダ・インジェクション
・外部の利用者がこのメールアドレスを自由に指定できてしまう場合があります。このような問題を引き起こす脆弱性を「メールヘッダ・インジェクション」と呼びます。
・対応方法
　→ メールヘッダを固定値にして、外部からの入力はすべてメール本文に出力する
　→ メールヘッダを固定値にできない場合、ウェブアプリケーションの実行環境や言語に用意されているメール送信用 API を使用する。
　→ HTML で宛先を指定しない。
　→ 外部からの入力の全てについて、改行コードを削除する。

９）クリックジャッキング
・ウェブサイトの中には、ログイン機能を設け、ログインしている利用者のみが使用可能な機能を提供しているものがあります。該当する機能がマウス操作のみで使用可能な場合、細工された外部サイトを閲覧し操作することにより、利用者が誤操作し、意図しない機能を実行させられる可能性があります。このような問題を「クリックジャッキングの脆弱性」と呼びます。
・対応方法
　→ HTTP レスポンスヘッダに、X-Frame-Options ヘッダフィールドを出力し、他ドメインのサイトからの frame 要素や iframe 要素による読み込みを制限する。
　→ 処理を実行する直前のページで再度パスワードの入力を求め、実行ページでは、再度入力されたパスワードが正しい場合のみ処理を実行する。
　→ 重要な処理は、一連の操作をマウスのみで実行できないようにする。

１０）バッファオーバーフロー
・ウェブアプリケーションを含む、あらゆるプログラムは、指示された処理を行うためにメモリ上に自身が使用する領域を確保します。プログラムが入力されたデータを適切に扱わない場合、プログラムが確保したメモリの領域を超えて領域外のメモリを上書きされ、意図しないコードを実行してしまう可能性があります。このような問題を「バッファオーバーフローの脆弱性」と呼びます。
・対応方法
　→ 直接メモリにアクセスできない言語で記述する。
　→ 直接メモリにアクセスできる言語で記述する部分を最小限にする。
　→ 脆弱性が修正されたバージョンのライブラリを使用する。

Teng

Tue, 07 Apr 2015 01:21:08 +0900

Tengとは何か
Tengは非常にシンプルなO/R(Object-Relational)マッパです。
DBIx::ClassなどのほかのO/Rマッパと比較して、シンプルで覚えやすく、トラブル時にコードが追いやすいという特徴を持ちます。

Tengのインストール
　cpanm Teng

データベース接続
　my $teng = Teng::Schema::Loader->load(
dbh => $dbh,
namespace => 'MyApp::DB',
);

単一行の取得
単一の行を取得したい場合はsingleメッソドを利用します。
　
　my $row = $teng->single( 'member' =>{
#WHERE
'name' => 'TEST',
'age' => '24',
}, {
#ORDER BY, LIMIT
'order_by' => { 'no' => 'desc' },
'limit' => 1,
});
print $row->name;

singleメッソドでは暗黙的にLIMITが１であるもととしてSQLが生成されますが、可読性のために基本的にはLIMITを明示したほうが良いです。

複数行の取得
複数の行を取得したい場合はsearchメソッドを利用します。
　
　my $row = $teng->search( 'member' =>{
#WHERE
'age' => '24',
　}, {
#ORDER BY, LIMIT
'order_by' => { 'no' => 'desc' },
　});
my @result = $row->all;

データの更新
データを更新する場合はInsert, Update, Deleteメッソドを利用します。
Insert
　my $row = $teng->insert( 'member' => {
'name' => 'Teng_DB',
'age' => '24',
'addr' => 'Perl',
　});

Update
my $row = $teng->update('member' => {
'name' => 'Teng_Update',
}, {
'name' => 'Teng_DB',
});
# Executes UPDATE member SET name = 'Teng_Update' WHERE name = 'Teng_DB'

Delete
my $row = $teng->delete('member' => {
'name' => 'Teng_Update',
});

# Executes DELETE FROM member WHERE name = 'Teng_Update'

iptables設定ベストプラクティス

Tue, 07 Apr 2015 01:20:36 +0900

1. iptablesコピー
iptables-save > [filename]

2. 設定編集
vim [filename]

3. iptablesに設定追加
iptables-restore < [filename]

4. 設定保存
service iptables save

5. iptablesリスタート
service iptables restart

TCPSERVER

Tue, 07 Apr 2015 01:20:22 +0900

使い方法
tcpserver 【options】【host】【port】【program】

host
・サーバを起動するIPアドレス/ホストを特定しないのであれば 0 を記述します。

port
・ポート番号あるいはサービス名を記述します。

program
・サーバ・プログラム名を記述します。

options
-q エラーメッセージを出力する
-Q エラーメッセージを出力しない（デフォルト）
-v すべてのメッセージを出力する
-p パラノイドを行う。リモートホスト名を調べた後、そのホスト名でIPアドレスを調べ、TCPREMOTEIP に一致するか調べる。一致しない場合は TCPREMOTEHOST をセットしない。
-P パラノイドを行わない。（デフォルト）
-h リモートホスト名を調べ、TCPREMOTEHOST をセットする。（デフォルト）
-H リモートホスト名を調べない。
-r IDENTを行い、TCPREMOTEINFO をセットする。（デフォルト）
-R IDENTを行わない。
-c limit 最大同時接続数の設定。デフォルトは40
-x rules.cdb 接続制御を行うときの接続制御データベースのファイル名
-B banner 接続時にバナーをネットワークへ出力する。
-u uid ユーザIDを uid に切り替える
-g gid グループIDを gid に切り替える
-l localname ローカルホスト名を調べるのをやめて、localname を TCPLOCALHOST にセットする
-t timeout IDENT をタイムアウトする時間(秒)。デフォルトは 26

仮想IP設定

Tue, 07 Apr 2015 01:19:56 +0900

仮想IPとは
1つのアドレスを複数のサーバなどで共有する手法で、一部の機器に障害が生じてアクセス不能になった場合でも、
同じアドレスを引き継いでサービスを続行することができる。また、ロードバランサなどと共に使用することで、
外部からのアクセスを複数のサーバに均等に割り振って負荷分散を計ることができる。

設定方法
・仮想IP設定は「ifconfig」でできますが、ifconfigは廃止なんだそうで、ip addrを使って設定します。

１．IP確認
ip addr show

２．仮想IP設定
ip addr add IPアドレス/24 dev eth0

３．仮想IP削除
ip addr del IPアドレス/24 dev eth0

【LEFT】【RIGHT】【INNER】　JOIN

Tue, 07 Apr 2015 01:19:21 +0900

A) LEFT JOIN
JOIN の左側のテーブルのデータは基本的に全て表示します（ WHERE 句で除かない限り）。
そしてそこに、対応する右側のテーブルのデータを追加します。右側のテーブルに対応するデータが存在しない場合には NULL が代わりに使われます。

B) RIGHT JOIN
JOIN の右側のテーブルのデータは基本的に全て表示されます。そしてそこに、対応する左側のテーブルのデータを追加します。左側のテーブルに対応するデータが存在しない場合には NULL が代わりに使われます。

C) INNER JOIN
左右両方のテーブルで対応するデータが存在するものしか表示しません。

zsh

Tue, 07 Apr 2015 00:36:13 +0900

zshの特徴
１．強力な補完機能
多いシェルがTabを押すとディレクトリやファイル名などが表示されますが、zshはそれより多い情報を見せます。

２．拡張されたファイル名のブロック
シェルでファイル名を設定するとき、ファイル名全体を知らなくてもファイル名に一致するパタンを使ってい指定できます。こんな機能を「ファイル名ブロック」と呼びます。
3. アリアス
アリアスはコメントのニックネームを設定する機能です。zsh以外に別のシェルはこの機能を持っています。普通のアリアスの場合はコメントライン前の部分だけを変更できますが、zshは前の部分以外の単語も変更できます。

zsh設置方法

１．yumを通じてzsh設置
- sudo yum install zsh

２．zsh実行
- zsh pathを/etc/shellsに追加

zsh path確認
which zsh
/etc/shells 内容確認
cat /etc/shells
/etc/shells에 zsh path 追加
sudo sh -c "echo '/usr/local/bin/zsh' >> /etc/shells"
chsh -s '/usr/local/bin/zsh'

設定ファイルの種類と役割
zshは実行ときにホームディレクトリ下に置いた初期ファイルを読みます。初期化ファイルはいろいろな種類があり、zshをどのように動作したかにより読み込むファイルが変わります。
zshの初期化ファイル
$HOME/.zshenv
$HOME/.zprofile
$HOME/.zshrc
$HOME/.zlogin
zshのカスタマイズを行うためには上記の４つのファイルを編集しなければならないです。
４種類のファイルですが、普通にはzshenvと.zshrcだけを使っても十分です。

.zshenvの役割
.zshenvはzshを実行するときに必ず読み込むファイル
実行時だけでなくzshのシェルスクリプトを実行するときやコメントラインから直接zshを実行するときも含む
.zshrcの役割
このファイルはアリアスやKeyバインド設定やzshのオプションなどの使うための設定を書きます。zshの設定は基本的には.zshrcに書くことに考えると良い

設定を適応する
設定ファイルに書く内容はすぐに適応されます。変更したことを確認したい場合は再起動してもいいですがsourceコメントを使うとすぐに適応できます。
source ~/.zshrc
ただしこれは設定ファイルに書く内容をもう一回実行するためのコメントです。そのために新しく追加や変更した設定はそのまま適応されますが、削除した設定は残ります。削除したことも含めるためには次のコメントを実行します。
exec zsh
これはzshを再起動するコメントです。このコメントにより設定ファイルに書く内容を適応した新しいzshが実行します。

オプションの設定方法
オプションはzshの動作や機能を変わるための設定で「有効」「無効」を設定できます。
特定オプションを有効で設定するためにはsetoptコメントを使います。
　たとえば、SHARE_HISTORYのオプションを有効にする場合は.zshrcに次を追加します。
setopt SHARE_HISTORY
オプションを無効にするためにはunsetoptを使ったりオプション名の前にNO_を追加します。
unsetopt SHARE_HISTORY
setopt NO_SHARE_HISTORY
オプションには大文字・小文字を区分しません。

基本的なオプション
１． AUTO_CD
AUTO_CDオプションはディレクトリ名を指定することでこのディレクトリに移動されるオプションです。
/usr/share/zsh
上のコメントで/usr/share/zshディレクトリで移動できるようになります。cdコメントを入力しなくても移動できるので便利なオプションです。
２．AUTO_PUSHD
AUTO_PUSHDオプションを使うとcdコメントに移動したディレクトリの履歴が自動的に保存されます。このディレクトリ移動履歴をディレクトリStackと呼びます。zshを含めて多いシェルにはpushdというコメントがありますが、このオプションを有効にするためにはcdコメントがpushdコメントと同じようになります。
setopt AUTO_PUSHD
履歴に残っているディレクトリで移動するためにはcd + 番号をつけると移動できます。

３．^Dでzshを終了しない
setopt IGNORE_EOF
４．^Q/^Sのフローコントロールを無効にする
setopt NO_FLOW_CONTROL
５．beep音を出ないように
setopt NO_BEEP

コメントラインの編集によって設定
EmacsのKeyバインドを使う
zshではコメントラインを編集するときにKeyバインドをEmacs風とvi風の2種類を選択する。
EmacsのKeyバインドを指定する場合は次の設定を.zshrcに追加する
bindkey -e

Emacs風のKeyバインドはUNIX系OSでよく使われる操作方法です。
Emacs風のKeyバインド操作
- Ctrl+f これから一間移動
- Ctrl+b 後に一間移動
- Ctrl+a 最初に移動
- Ctrl+e 最も後ろに移動
- Ctrl+p 以前のコメント履歴
- Ctrl+n 次のコメント履歴
- Ctrl+w カーソル位置から1個の単語を削除

メニュー選択モード
Tabを押す時に表示されるリストをカーソルで移動して選択するモード
もし、１００番目のリストを選択するとしたらTabを１００番押さないといけない。こんな場合にメニュー選択モードを使ったら便利です。
zstyle ':completion:*:default' menu select=2
この機能はカーソルで選択できますがEmacs風のカーソル移動もできます。

大文字・小文字を区別しない機能
ファイル名に大文字が含めている場合に、普通にはShfitを押して設定しなければならないです。
このShiftを押さなくてもできる設定があります。
zstyle ':completion:*' matcher-list 'm:{a-z}={A-Z}'
これは補完の入力でa-zをA-Zにマッチングするための機能です。

アリアス
アリアスはコメントにニックネームを与える機能です。
たとえばls -aがlaというニックネームに変わります。
alias la='ls -a'

strace

Mon, 06 Apr 2015 23:56:16 +0900

Straceとは?
- straceというのはmanによるシステムコールとシグナルを追跡するためのツール

システムコールとは？
- ユーザーが操作するOS命令語

簡単な操作方法
strace $cmd
$cmdの部分には実行できるコメントを入れる

ex)
1. Linux上で【hoge】というファイルを作成して【This is hoge】という内容を作成する
2. ファイルを作成した後、【strace cat hoge】というコメントを入力すればstrace経由で動くコメントについてstraceはattachしておく、このコメントが発行したシステムコールを見ることができます

既存プロセスのattach
特にWebアプリケーションのデバッグ目的の場合に、もう上がっているプロセスのtraceを行っている場合の方が多いと思います。この場合は次のようなコメントラインオプションを指定します。

strace -p $pid

straceオプション
-tt : タイムスタンプ表示
ttオプションを指定することで、各システムコールでどのぐらいの時間がかかるのかマイクロ秒単位で表示できます。
strace -p $pid -tt

-s : 表示する文言の最大の長さを指定
sオプションで数値を決めることよりread(2)やwrite(2)に使っているBufferの中心を省略しないで見ることができます。
strace -p $pid -tt -s $strsize

-c 各システムコールについての時間とコールの数、エラーをカウントしてプログラムを終了するときに報告します。
strace -c ls

Straceを利用する理由
1. 見たい時にすぐに見ることができます。
2. LinuxプロセスだといつでもStraceが可能為。
3. ソースの周りにないバイナリでも使うことができます。

Webアプリケーションで注目するすべてのシステムコール
実際のアプリケーションをstraceしてデバッグを行う場合には、一番気を使うのはこの中にある自分たちのサービスのためにかかった処理部分です。
RequestとResponseの間に行う処理は下記の３つです。
１．ネットワークのソケットを開ける、読む、書く
２．ファイルを開ける、読む、書く
３．Requestの内容または上の２つによるデータを計算する

Prelで使われているWebアプリケーションではデータ永続化するためにMySQLやPostgreSQLまたはNoSQLと似ているデータベースを使うし、それを永続化データのCashとしてmemcachedやRedisなどを利用することが多いです。まだミドルウェアのアクセスはネットワークを経由するのでstraceから見ると「１」として観測されます。
また、Requestの途中にログを書いたりファイルCashにアクセスしたり特定設定のファイルを読んだりなどの操作は「２」で観測されます。
「１」と「２」の操作で利用されるシステムコールとそれによってstraceの内容の読む方法を解説します。「３」については「１」と比べて問題が発生することが難し、また問題があった場合もstraceにより調査しなくてほかのアプローチを得るのがいい部分です。

ソケットに関するシステムコール
TCPソケットを使ってネットワークにアクセスを行っているWebアプリケーションをstraceした場合シークエンスを確認できます。
１．socket(2)でソケット作成
２．connect(2)でTCPコネクションを確立
３．write(2)/read(2)を反復
４．close(2)でTCPコネクションをclose