無料でWebアプリにありがちな脆弱性を調べて治す：Tomcatはどこまで“安全”にできるのか？（5）（2/3 ページ）

[x-labチーム，株式会社アメニクス] PC用表示関連情報

LINE

Hatena

ありがちな脆弱性（XSS）を調べてみよう

　XSSの脆弱性はWebアプリケーション開発において“つい”忘れられることの多いありがちな脆弱性です。IPAのサイトでも過去に発生して話題に上ったこともあり、いまでも「定番」といえる脆弱性でしょう。

　それでは、実際にこの脆弱性を調べてみましょう。今回対象とするのは、連載第3回「Tomcat 6で実現！ Ajaxを超える通信技術Comet」で作成したチャットアプリケーションです。

図2　Cometのチャットアプリケーション

　簡単な画面で、入力項目が2個所と送信用のボタンがありました。入力項目はそれぞれ「ユーザ名」と「メッセージ」の2つでチャットするユーザーとそのメッセージを入力するためのフォームでした。

　XSSは「悪意のあるユーザーによるフォームへの入力内容により意図せぬコードが実行される脆弱性」です。GETリクエストを含んだURLによる問題が話題になることが多く、実際に問題になることも多いです。

*** 一部省略されたコンテンツがあります。PC版でご覧ください。 ***

　今回対象となる入力項目は「user」「message」の2つですので、以下のようなURLを作成してWebブラウザから開いて調べてみましょう。

*** 一部省略されたコンテンツがあります。PC版でご覧ください。 ***

図3

　何の反応もありませんでした。こちらは何も起こらず問題ないようです。

　次に、POSTリクエストを用いてスクリプトを混入させて実行してみましょう。各入力項目に以下の文字列を入力します。

*** 一部省略されたコンテンツがあります。PC版でご覧ください。 ***

図4　CVEのセキュリティ・ホール検索ページ

　そのまま送信してみると……。

図5

　JavaScriptで記述したアラートが実際に2回も表示されてしまいました。これはまさに、XSSの脆弱性があるということを暗示しており、このように入力フォームの内容が基で意図せぬ処理が実行されるのがXSSです。

図6　（画面上は何も表示されないがHTMLタグが埋め込まれてコードが実行された）

　このチャットアプリケーションにおいて、この脆弱性は“非常に危険”な状態だといえます。なぜなら、このチャットアプリケーションからリアルタイムに会話中の相手に対してスクリプトを送り込めることになるからです。

　例えば、以下のように太郎さんと花子さんが会話をしているような場面です。

図7

　ここで、花子さんがほかのサーバに遷移させるスクリプトを混入させると……。

図8

　会話をしていた太郎さんが強制的に別のページへと転送されてしまいます。強制的にスクリプトを実行させてしまうこの状態、修正する必要が高いといえます。

　さて、これまでに分かったことは、以下の3つの状況です。

　それでは、どのようにしてXSSを解消すればいいでしょうか？次ページで解説します。