セキュリティ

http://beatnik.jp/blog/archives/447WordPressテーマに仕込まれるワームが巧妙過ぎPHPで翻訳三昧

こちらの記事に即反応して確かめました。
それらしいものは検索にかからなかったのでほっとしてます。

WebTecNoteさん
[wp] WordPressテーマのfunctions.phpに仕込まれるワームについて

危険度合いもさることながら、巧妙過ぎで容易に気付けないのが恐ろしい。
多彩なテーマがフリーで手に入るWordpresだけに広がりやすくてまた怖い。
注意を促すため書きとめときます。

http://beatnik.jp/blog/archives/435攻撃的（？）なリクエストのサンプルPHPで翻訳三昧

いつもと毛色の違う攻撃的（？）なリクエストが・・・。
これだけでたいした悪さの出来るものではないところがいつもと違います。

スーパーグローバル変数 $_GET、$_POST、$_COOKIE、$_SERVER['HTTP_*']
$_SERVER['REQUEST_URI'] あたりで得られる値をそのまま使ってると
なにか動作するものと推測出来ます。
クライアントから来る値を信用してはいけない。っていうわかりやすい見本です。
こういうのがあるので以下の2点は必ずやりましょう。

１．プログラムで使用する前に、想定内の値かどうか確認する。（バリデーション）
２．HTMLとして整形時に無効化する。（サニタイジング）

ちなみにこのリクエストは、
アプリケーションのバリデーションに引っかかったのではなく
こちらのフィルタにかかって、即ハネられたものです。
攻撃的？なリクエストをフィルタリングしてみる

設計段階でクライアントから受け取る値（文字）に制限を設けておけば
未知の攻撃に対してもこうした予防措置をとることが出来ます。

それにしても http://www.puritysearch.net/ は
うちのサイトの脆弱性テストでもしてるのでしょうか。
レポート（Japanese only）、気長にお待ちしてます。

http://beatnik.jp/blog/archives/400攻撃的？なリクエストをフィルタリングしてみるPHPで翻訳三昧

PHPプログラミングを扱ってるからでしょうが
毎日なにかしらの攻撃的なリクエストがあります。

特定のURLに誘導するものとか、サーバーのコマンドを実行するものとか
SQLインジェクションとか、アプリケーションの脆弱性をつくものとか・・・
まあ、アクセスログにはいろいろと記録されてます。

4/2はこんな感じでした。

攻撃者が、任意のコードやコマンドをうちのサーバーで
なんとか実行させようと試みてるのがみてとれます。

うちのサイトでこのようなリクエストは全部 Error404 ってことになり、
レスポンスにボディーは無し、コマンドも実行されることもありません。
今日は攻撃的なリクエストのフィルタリングについて書いてみます。
続きを読む

http://beatnik.jp/blog/archives/173アクセスログの(null) を含むリクエストPHPで翻訳三昧

Apacheのアクセスログを見てると、リクエストに
(null) が付いたアクセスが１日１０件程あるのに気づきました。

例）
"GET /php/(null) HTTP/1.1"

特定のホストからというわけでもなく
日本の一般的なプロバイダさんからのアクセスです。
リクエストされてるページもバラバラです。

共通してるのは UAER_AGENT が MSIE 8.0 なことと
単発のリクエストであることの２点です。

１. ヌルバイトアタック？
２. ワームによる攻撃？
３. MSIE 8.0 のバグ？
４. 単に (null) って文字を付けて遊んでるだけ？

Apacheがヌルバイトを(null)に変えて
ログに保存してるのかもしれないけど、これはなんでしょね？
正規版が公開されたばかりの MSIE 8.0 をインストールして試しましたが
(null) は付いてこなかったのでバグではなさそうです。

「２. ワームによる攻撃」の可能性が高い気がしてますが
ひとまずヌルバイトと(null)って文字の入ったリクエストを
別ログにとって様子をみたいと思います。

http://beatnik.jp/blog/archives/22ログ解析でSQLインジェクションを検出PHPで翻訳三昧

IPA 情報処理推進機構さんでこんなサービスがはじまりました。

ウェブサイトの脆弱性検出ツール iLogScanner
ウェブサーバのアクセスログを解析して脆弱性検出を簡易に行うツール

JavaアプレットとIPAのサーバ間で通信しながら
ローカルマシンにあるアクセスログを解析して、
結果のレポートをローカルフォルダに出力します。

あらかじめ JRE 5.0以上のインストールが必要。
ログのフォーマットは、IIS のW3C拡張ログ と
Apache のcommonタイプ に対応してます。

こんなHTMLのレポートが出力されます。

SQLインジェクションは検出されなかったので
これでどうというのが言えませんが
自サイトのセキュリティチェックにちょっと役立ちます。

IPAさんには、IPA ISEC セキュア・プログラミング講座 もありますので
ご存知ない方は一読されると良いと思います。