対象ポイント対象企業等のウェブサイト公開における安全性向上について理解を深めたい方ポイント主に企業ウェブに関連したセキュリティ事故のケーススタディによる脅威と対策の技術的解説 Copyright 2008 独立行政法人情報処理推進機構 2

Size: px

Start display at page:

きょういちいさし
5 years ago
Views:

本講の内容 1. SQL インジェクションとは? 2. 事例 : ショッピングサイトでウイルス感染? 3.

9 事例 : ショッピングサイトでウイルス感染? About Search Login S h o p p i n g S i t e ショッピングサイト C 社社員数 200 名 Windows のショッピングカートシステムを使った中規模ショッピングサイト会員数 10 万人程度リピーターがついておりアクセスは盛況最新パッチの適用ユーザ管理アクセス制限と一通りは対策 Copyright 2008 独立行政法人情報処理推進機構 9

10 ショッピングサイトの裏側 img img ul li li li About Search Login div お知らせ I S h o p p i n g S i t e img ショッピングカートシステムを自社開発ウェブのコンテンツは DB に格納されておりアクセスを受けるとショッピングカートシステムが動的にページを作成する販売担当者はショッピングカートシステムの管理画面から自分の担当する商品情報を更新するサーバ群の管理のために管理者が数名 Copyright 2008 独立行政法人情報処理推進機構 10

11 ショッピングサイト上にウイルス About Search Login S h o p p i n g S i t e ある日突然 C 社にウェブを見たらウイルス対策ソフトが反応したウェブサイトでウイルスに感染したという苦情が複数よせられるショッピングサイトにはユーザがページ内容を変更したりファイルをアップロードするような機能はない一体どこから? Copyright 2008 独立行政法人情報処理推進機構 11

現在の状態を調査する外部に表示するウェブサイトをメンテナンス用サーバに切り替え切り離したサイトを調査トップページに悪意あるスクリプトを読みこませる内容を追加しウイルスに感染させようとしていた他のページには同様の埋めこみは発見できず <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.

12 現在の状態を調査する外部に表示するウェブサイトをメンテナンス用サーバに切り替え切り離したサイトを調査トップページに悪意あるスクリプトを読みこませる内容を追加しウイルスに感染させようとしていた他のページには同様の埋めこみは発見できず <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN"> <html lang= ja > 外部のスクリプトを読みこんで実行 <head> <title>welcome to C shopping site</title> <link rel="stylesheet" href="style.css" TYPE="text/css"> <script src= ></script> </head> トップページに埋めこまれた HTML Copyright 2008 独立行政法人情報処理推進機構 12

14 参考 : 最近のウイルスの動作罠ウェブ経由 / 普通のウェブ経由で感染ブラウザやプラグインの複数の脆弱性をついて侵入を試みる最初は小さくて流用しやすいプログラム ( ダウンローダ ) に感染させる実際の攻撃は別サイトからダウンロードしたコード ( プログラムそのもの ) が行う何がダウンロードされるかわからない = 対策パッチをあててもそのパッチを掻い潜る次の攻撃手法が使われるダウンロードや命令には会社が制限できない内部外部のHTTP/HTTPSを利用し正規の通信に見せかける参考 : 近年の標的型攻撃に関する調査研究 Copyright 2008 独立行政法人情報処理推進機構 14

まずは感染経路を特定するどうやってウェブサイトにウイルスが仕組まれたのか? 想定 1: サーバへの攻撃? サーバに侵入され改ざん想定 2: 内部犯行?

16 想定 1: サーバへの攻撃? 外部からの攻撃による改ざんを疑う外部に公開しているのはウェブ用とメール用のサーバのみ DB は非公開外部からはアクセス制限によりメール (port 25) とウェブ (port 80/443) しかアクセスできないソフトウェアは随時アップデートしており既知の脆弱性の問題はないウェブサーバメールサーバサーバへの攻撃? ( 想定 1) 攻撃されたとすれば未知の脆弱性他をまず調査するべき DB サーバ Copyright 2008 独立行政法人情報処理推進機構 16

17 想定 2: 内部犯行? 内部の人による書き換えを疑うマシンに直接ログインできるのは管理者数人のみ商品の担当はショッピングカートシステムにログインして担当個所を編集できるだけの権限しか持たないトップページは無理クロスチェックしたがシステムのログイン記録とショッピングカートシステムのログにはトップページの改ざんの記録や不自然なログの欠損は無かった内部からの可能性は薄そうインターネットウェブサーバ内部犯行? ( 想定 2) DB サーバ内部ユーザ Copyright 2008 独立行政法人情報処理推進機構 17

想定 3: ウェブサイト経由? ウェブサーバのログを見ていくとエラーログの中に不審な文字列一見して SQL 文のように見えるがエラーデータベースにも同じようなログがエラー表示は消しているので SQL インジェクションではないはずウェブサーバウェブサイト経由? ( 想定 3) DB サーバ /shop/cart/?no=... %20SELECT%20.

18 想定 3: ウェブサイト経由? ウェブサーバのログを見ていくとエラーログの中に不審な文字列一見して SQL 文のように見えるがエラーデータベースにも同じようなログがエラー表示は消しているので SQL インジェクションではないはずウェブサーバウェブサイト経由? ( 想定 3) DB サーバ /shop/cart/?no=... %20SELECT%20... %20FROM%20... %20WHE RE%20... %20HAVING%20... (...) /shop/cart/?no=... %20SELECT%20... %20FROM%20... %20WHE RE%20... %20ORDER%20... ウェブサーバのエラーログ Copyright 2008 独立行政法人情報処理推進機構 18

19 SQL インジェクションの可能性あり詳しく調べた所データベースのログに定型外のデータの内容を更新する SQL 文が記録されていた UPDATE pages SET "created_at" = ' :19:46', "template" = 'toppage.tmpl', "verified" = 1, "role" = NULL, "published" = 0, contents= <html><head>... データベースのログこれはショッピングカートシステムで使うデータベース内容を直接書換える SQL 文と判明ショッピングカートシステムのログに残らない形でトップページを改ざん悪意あるスクリプトを読みこませる内容を書きこんでいた Copyright 2008 独立行政法人情報処理推進機構 19

20 ウェブの改ざんだけではなかったデータベースのログを更に確認... EXECUTE xp_cmdshell echo ( SELECT... FROM... ) EXECUTE xp_cmdshell echo ( SELECT... FROM... )... データベースのログ順番通りに実行するとデータベースの内容を元にその内容を OS のコマンドで送信するという内容ウェブの改ざんの裏で情報漏えいも起きた可能性があったしかしデフォルトで利用できない機能のため問題なし Copyright 2008 独立行政法人情報処理推進機構 20

21 運営者としての対応 S h o p p i n g S i t e Copyright 2008 独立行政法人情報処理推進機構 21 About 重要なお知らせ弊社ウェブサイトにおけるウイルス掲載の問題について XXXX/XX~XX/XX の間アクセスされたお客様へ他にあやしいものが無いかサーバやデータベースの内容を全面的にチェックショッピングカートシステムを使わずにおわびと経緯の解説文章をウェブページに駆除方法の提供ショッピングカートシステムを修正本来のウェブページはショッピングカートシステムが修正された後に公開ウェブの営業停止による金銭的被害多層防御の一環としてウェブアプリケーションファイアウォール (WAF) やサーバ用のアンチウイルス製品を導入参考 : 企業における情報セキュリティ事象被害額調査

.. データベース S h o p p i n g S i t e ウェブサイトに SQL インジェクションの脆弱性がありそこを攻撃された SQL

22 何が起こっていたのか [HTTP でのアクセス ] /shop/cart/?no=... %20SELECT%20.. 悪意ある攻撃者ウェブアプリケーション About Search Login [SQLでのアクセス] SELECT... FROM... WHERE... データベース S h o p p i n g S i t e ウェブサイトに SQL インジェクションの脆弱性がありそこを攻撃された SQL インジェクションによりショッピングカートシステムのログに残らない形でウェブページを改ざんされたさらに OS コマンドが実行されて情報漏えいを起こされる可能性があった Copyright 2008 独立行政法人情報処理推進機構 22

25 SQL インジェクション対策のポイントウェブアプリケーションで修正の必要があるデータベースの主要 4 機能 (CRUD) を制御される脅威は情報漏えいに限らない Create( 作成 ): 偽データの追加の脅威 Read ( 読込 ): データの漏えいの脅威 Update( 更新 ): 偽データでの上書きの脅威 Delete( 削除 ): データの削除の脅威他の脆弱性を利用するための前準備にも使われる Copyright 2008 独立行政法人情報処理推進機構 25

26 SQL における CRUD Create Read Update Delete ( 作成 ) = INSERT ( 読込 ) = SELECT ( 更新 ) = UPDATE ( 削除 ) = DELETE 自由にこれらの命令が悪意を持ち利用された場合データ定義の CREATE や ALTER TRUNCATE DROPなども利用される可能性 Copyright 2008 独立行政法人情報処理推進機構 26

27 なぜ SQL 文の挿入が可能か? 特別な意味を持つ記号文字の扱いが不適切例 : ( シングルクォート ): テキスト文字の引用符 SELECT * FROM a WHERE id='$p'; $p=foo の場合 : SELECT * FROM a WHERE id='foo'; '; $p=foo' or 'a'='a の場合 : SELECT * FROM a WHERE id='foo' or 'a'='a';'; 変数中の記号文字が意味のある文字として解釈される Copyright 2008 独立行政法人情報処理推進機構 27

30 エスケープ処理 ( 根本的解決 ) エスケープ処理の実施特別な意味を持つ記号文字が普通の文字として解釈されるように処理する例 :' ''( 同じ文字の繰り返し ) $p=foo' or 'a'='a の場合 : SELECT * FROM a WHERE id='foo'' or ''a''=''a'; 変数中の ( シングルクォート ) が普通の文字として解釈される Copyright 2008 独立行政法人情報処理推進機構 30

31 エスケープ処理の方法大きくわけて次の 2 種類バインド機構の利用 ( プレースホルダバインド変数準備された文 (Prepared Statement)) バインド機構以外でのエスケープエスケープ関数 (Perl の DBI quote() や PHP の dbx_escape_string()) 置き換え演算子等で自己エスケープ処理 ( s/'/''/g; など ) Copyright 2008 独立行政法人情報処理推進機構 31

32 エスケープ処理の実装例バインド機構を利用 ( 例 : Perl DBI) 独自の処理でエスケープ処理をする必要が無くなる $sth = $dbh->prepare( "SELECT id, name, tel, address, mail FROM usr WHERE uid=? AND passwd=?"); $sth->execute($uid, $passwd); バインド変数プレースホルダ参考 : セキュアプログラミング講座第 6 章入力対策 SQL 注入 : #1 実装における対策 ts/502.html Copyright 2008 独立行政法人情報処理推進機構 32

33 エスケープ処理の実装例エスケープ関数を利用 ( 例 : Perl DBI) 可能ならばバインド機構を推奨 $sth = $dbh->prepare( SELECT id, name, tel, address, mail FROM usr WHERE uid=. $dbh->quote($uid). AND passwd=. $dbh->quote($passwd)"); $sth->execute(); Copyright 2008 独立行政法人情報処理推進機構 33

34 エスケープ処理の失敗例 SQL 文の組み立てにパラメータ値をそのまま利用 $sql="select id, name, tel, address, mail FROM user WHERE uid='".$uid."'and passwd='".$passwd."'"; $sth=$dbh->prepare("$sql"); $sth->execute(); Copyright 2008 独立行政法人情報処理推進機構 34

エラーメッセージを表示すると名前 : 悪人太郎 SQL error with query SELECT a.name, a.displname, a.passwd, a.expire_date, a.create_date, a.misc FROM account as a WHERE a.category=7 ORDER BY c.

37 エラーメッセージを表示すると名前 : 悪人太郎 SQL error with query SELECT a.name, a.displname, a.passwd, a.expire_date, a.create_date, a.misc FROM account as a WHERE a.category=7 ORDER BY c.date: Can't open file: account.myd'. (errno: 145) 趣味 : クラッキング攻撃者の視点ではこう見えるデータベースを利用 SQL インジェクションの可能性 SQL エラーに気を使っていない攻略の可能性エラー内容に SQL 文が含まれるテーブル定義が推測できる & 試行錯誤すればどんどん調査できる可能性エラー内容から攻略方法を検討 Copyright 2008 独立行政法人情報処理推進機構 37

39 エラーメッセージを非表示にするデータベースでの設定例 PostgreSQL (postgresql.conf で ) SILENT_MODE = on ; 標準出力標準エラー出力に一切のログを表示しない SYSLOG = 2 ; ログを syslog だけに出力する標準出力等にはしない完全にエラーを表示させないようにする場合の例エラーを表示しないだけでは駄目でエラーの内容を選別してログに記録するようにしておく必要がある Copyright 2008 独立行政法人情報処理推進機構 39

40 エラーメッセージを非表示にする ( 保険的対策 ) ウェブサーバでの設定例 PHP 5 (php.ini などで ) display_errors=off : エラーをHTMLとして画面出力するか display_startup_errors=off ; PHPの初期動作時点で起きるエラーを HTMLとして画面出力するか他 error_reporting ; エラーの表示内容を設定 log_errors ; ログにエラー出力を行うか設定エラーを表示しないだけでは駄目でエラーの内容を選別してログに記録するようにしておく必要がある Copyright 2008 独立行政法人情報処理推進機構 40

ilogscanner の活用ウェブサイトの脆弱性検出ツール ilogscanner http://www.ipa.go.

44 ilogscanner の利用例 IPA で公開している OSS ipedia のアクセスログを解析最近 SQL インジェクションがますます急増 1. 解析対象のウェブサイト IPA の OSS ipedia ( オープンソース情報データベース ) 2. 解析したログの期間 2008 年 1 月 ~6 月 3. ilogscanner の解析結果 (1) 攻撃があったと思われる件数 :123 件 (2) 攻撃が成功した可能性の高い件数 :0 件 4. ログの詳細調査結果攻撃に成功した件数 :0 件 Copyright 2008 独立行政法人情報処理推進機構 44

まとめ :SQL インジェクションの対策 SQL 文の組み立てには必ずエスケープ処理を実装するバインド機構を推奨公開ページでは

html 書籍ウェブ IPA に届出られた脆弱性関連情報をもとに対策をまとめたもの

1. SQL インジェクションの問題と脅威 2

SQL インジェクション対策について 1. SQL インジェクションの問題と脅威 2. SQL インジェクションの仕組みと対策 3. 攻撃の痕跡を見つける 4. まとめ独立行政法人情報処理推進機構 (IPA) セキュリティセンター谷口隼祐 1. SQL インジェクションの問題と脅威 2 こんなニュース聞いたことありませんかクレジットカード番号や個人情報の漏えい音響機器楽器販売サイト健康食品や医薬品販売サイト