PHP講習会私的メモ(セキュリティ編)IT・Web関連2006年9月末に通っていたPHP講習会のセキュリティ編が開講されたので受講してきました・・・のは2006年11月27日、28日。半年が経過しております。まとめるのが遅すぎますが自分メモなのでご容赦ください。2007.06.032006年9月末に通っていたPHP講習会のセキュリティ編が開講されたので受講してきました・・・のは2006年11月27日、28日。半年が経過しております。まとめるのが遅すぎますが自分メモなのでご容赦ください。・運用マニュアルを作成しましょう。●php.iniの推奨設定たくさん列挙されましたが、抜粋。SQLインジェクション対策には不完全なのでoff●入力値のチェックブラックリストではなく正規表現でホワイトリストを作成しましょう。●セッション(クッキー)管理phpに限らず慎重に。●パラメータの露出クエリストリング(GET値)、hidden値は慎重に。・info.phpの削除忘れ・バックアップファイル、バージョン管理ファイル(sample.php.bl)・libsフォルダの権限設定ミス→テキスト状態で表示されるのでソースコードが漏洩します。標題の通り概論であり既知の内容が多かったです。第2回「詳細な脆弱性とその対策」いよいよ具体的な脆弱性の説明になります。ID,PW,URLを試す。対策:パスワード強度を高める、Basic認証、POST/GET値のホワイトリストチェック。「\0」が文字列の終端として認識されそれ以降の入力値が認識されない関数がある。対策:バイナリセーフでない関数にユーザー入力をいれてはいけない。●SQLインジェクション勝手にSQL文を発行されデータベースが不正操作される。対策:SQL文のエスケープ。DBごとに関数が異なる(mysql_real_escape_string(),pg_escape_string())。●ディレクトリトラバーサル相対パス「../」「..\」により想定外のデータにアクセスされる。対策:不正文字列を削除する。basename()でファイル名を取得するのはNullバイト攻撃の危険がある。●コマンドインジェクションユーザー入力からOSコマンドが実行される。対策:サニタイジングする(escapeshellarg())。●セッションハイジャックセッション変数(PHPSESSID)をGET値などで指定するとそのIDでセッションが継続する。リンクに記述されていて踏んだ場合など第三者にIDが知られるとセッションが乗っ取られる。対策1:セッションはCookieのみにする。携帯電話などCookieが使えない場合はGETの利用も有効だけど・・・。対策2:session_start()のあとにsession_regenerate_id(true)を実行してセッションIDを変更する。(php5.1.0未満は古いセッションファイルが残るので削除を自前で実装する必要あり)●クロスサイト・スクリプティング(XSS)ユーザー入力のhtmlをそのまま表示してしまうとjavascriptが実行されたりする。対策:HTML生成時にサニタイジング。htmlspecialchars($str,ENT_QUOTES)。smartyのescape。●クロスサイト・リクエスト・フォージェリ(CSRF)サイトの管理者権限をもつユーザーに不正な操作を強いる。例:不正処理が記述されたHTMLメールをサイト管理者宛てに送る。サイト管理者がメール閲覧時にログイン状態であるとその処理が実行される。対策:ワンタイムチケットを発行する。リファラーチェックはダメ。POSTに変換もダメ。詳細な攻撃方法が説明され勉強になりました。CSRFの手法はよく思いつくなぁという感じです。この被害って過去に例があるんでしょうか?講義はコーディングではなく座学でしたので、現場の開発者以外でもWebに関わる人には勉強になると思います。おまけAAで図解!ずばり一目で全く解らないコンピュータセキュリティ上記の授業とは無関係ですがAAでセキュリティがわかります。関連記事IT・Web関連Amazonの商品画像をカッコよくする。CDや書籍などの紹介が可能なAmazonアソシエイト。商品紹介の際に商品画像を使用できるのですが、この画像表示を加工する方法があるようです。[使用前]http://images-jp.amazon.com/images/P/B0008GJYYO.09.MZZZZZ...phpPHP講習会私的メモ(第6回)9月末に通っていたPHP講習会の私的メモ。最終回(第6回)が終わって2ヵ月が経ち、今更ながら慌てて復習記事をアップしたのは昨日から同じ会社の「セキュリティ編」に出席しているためです。2004に行って、その他。2004に参加してきました。何のプログラムかは秘密です。初心者向けのチュートリアルでした。今年も横浜では割と有名なしょぼいクリスマスツリーがありました。午...IT・Web関連FireFoxを導入する。OSに組み込むことでブラウザのシェア独占に成功したMicrosoft。今そこに一匹狼が旋風を巻き起こしています。・・・もとい「一匹狐」です。Explorerのシェアは90%を割り込み、再びブラウザのシェ...IT・Web関連フォートナイトとニンデンドーアカウントの設定を変更(切り替え)できるのか?→できるみなさま、フォートナイトをプレイしているでしょうか?小学生の長男がハマり、そこから自分も昨年9月くらいから週1回、1~2時間程度のペースでプレイしています。「ウェブ進化論」への23の付箋GWの課題としていた「ウェブ進化論」を読みました。本当の大変化はこれから始まる本を読む際、気になる箇所に付箋を張るようにしているのですが、大体がその場限りとなってしまって付箋を読み返すこ...スポンサーリンク最近の缶コーヒー(挽きたて/水出し)プロポーズ大作戦を見てます。コメントをキャンセルメールアドレスが公開されることはありません。名前メールサイト次回のコメントで使用するためブラウザーに自分の名前、メールアドレス、サイトを保存する。date*日本語が含まれない投稿は無視されますのでご注意ください。ウェブ企画・制作と浅い技術のWebディレクター。2級/三児の子育て中。ホーム検索トップサイドバータイトルとURLをコピーしました。