Blojsom におけるクロスサイトスクリプティングの脆弱性

Size: px

Start display at page:

Download "Blojsom におけるクロスサイトスクリプティングの脆弱性"

あきみかみいしづ
7 years ago
Views:

1 Japan Computer Emergency Response Team Coordination Center 電子署名者 Japan Computer Emergency Response Team Coordination Center DN c=jp, st=tokyo, l=chiyoda-ku, o=japan Computer Emergency Response Team Coordination Center, cn=japan Computer Emergency Response Team Coordination Center 日付 '00' Javaアプリケーション脆弱性事例調査資料についてこの資料は Javaプログラマである皆様に脆弱性を身近な問題として感じてもらいセキュアコーディングの重要性を認識していただくことを目指して作成しています Javaセキュアコーディングスタンダード CERT/Oracle版と合わせてセキュアコーディングに関する理解を深めるためにご利用ください JPCERTコーディネーションセンターセキュアコーディングプロジェクト 1

jp, o=japan Computer Emergency Response Team Coordination Center, cn=japan Computer Emergency Response Team Coordination Center 日付 2013.09.

2 Blojsom におけるクロスサイトスクリプティングの脆弱性 CVE JVNDB

3 Blojsomとは BlojsomはJavaで書かれたブログシステム AppleのMac OS X Server 10.4 TigerのWeblog Serverは blojsomがベースとなっている 3

4 脆弱性の概要 Blojsom は入力された文字列の処理に不備がありクロスサイトスクリプティング攻撃が可能攻撃者の用意したリンクをクリックするだけでクロスサイトスクリプティング攻撃が成立するクロスサイトスクリプティングによりアカウント乗っ取り等の被害が発生する 4

5 クロスサイトスクリプティングとはクロスサイトスクリプティングとはユーザの入力値を元にHTMLやURLなどを動的に生成しているWebサイトにおいて攻撃者によってユーザのブラウザに表示されるコンテンツに任意のHTMLやJavaScriptを埋め込む攻撃クロスサイトスクリプティングにより下記のような被害が発生する不正なサイトへの誘導 Cookieの搾取によるセッションの乗っ取り不正プログラムの埋め込み実行機密情報の漏えい(HTTPSページの情報搾取や HTMLフォームの偽装等 ) 5

攻撃クロスサイトスクリプティングにより下記のような被害が発生する不正なサイトへの誘導 Cookieの搾取

クロスサイトスクリプティング攻撃例 1ユーザーを攻撃者のWebサイトに誘導 2 攻撃者のWebサイトにアクセス攻撃者 3 攻撃コードを含むレスポンスユーザ攻撃の流れ 1 攻撃者はユーザーを攻撃者のWebサイトに誘導する 2 ユーザーは攻撃者のサイトにアクセスする 3 攻撃者のサイトから攻撃対象サイトに

6 クロスサイトスクリプティング攻撃例 1ユーザーを攻撃者のWebサイトに誘導 2 攻撃者のWebサイトにアクセス攻撃者 3 攻撃コードを含むレスポンスユーザ攻撃の流れ 1 攻撃者はユーザーを攻撃者のWebサイトに誘導する 2 ユーザーは攻撃者のサイトにアクセスする 3 攻撃者のサイトから攻撃対象サイトに対する攻撃コードを含むレスポンスが返される 4 ユーザーは攻撃対象サイトに対して攻撃コードを含むリクエストを送信する 5 ユーザーは攻撃コードを含むレスポンスを受信し攻撃対象サイトのページ上で攻撃コードが実行される攻撃実行!! 5 攻撃コードを含むレスポンス 4 攻撃コードを含むリクエスト攻撃対象サイト 6

コードを含むレスポンスが返される 4 ユーザーは攻撃対象サイトに対して攻撃コードを含むリクエストを送信する 5 ユーザーは攻撃コードを含むレスポンスを受

7 クロスサイトスクリプティング攻撃例 6セッションIDが奪われる攻撃実行!! 攻撃者 7ユーザーになりすましユーザ 8 機密情報の漏えい攻撃の流れ攻撃対象サイト 6 攻撃コードが実行されセッションIDが奪われる 7 攻撃者は奪ったセッションIDを利用してユーザーになりすまして攻撃対象サイトにアクセスする 8 攻撃対象サイト上のユーザー情報を奪うことが可能となる 7

8 Blojsom の処理内容ブログに新しい書き込みを実施した場合の処理フロー 1 クライアントのブラウザからリクエストが送信されアプリケーションが受信する 2 リクエストからパラメータを取り出し処理 (ブログの書き込み)を実施 3 アプリケーションは書き込み結果とともに書き込み内容をクライアントにレスポンスとして送信しクライアントのブラウザに表示される

り出し処理 (ブログの書き込み)を実施 3 アプリケーションは書き込み結果とともに書

9 Blojsomの処理 1クライアントからリクエストを受信するクライアントから送信されるリクエストは下記のようになるここではパラメータ rss-enclosure-url に注目する HTTPリクエスト POST /blojsom/blog/default/ HTTP/1.1 Host xxx.xxx Content-Length 370 ここではパラメータ rss-enclosure-url の値は test action=add-blog-entry&flavor=.&rss-enclosure-url=test& &submit=add+blog+entry 上記 HTTPリクエストを送信するためのHTML <form action= /blojsom/blog/default/ method= POST > <input type= text name= rss-enclosure-url value= test > <input type= submit name= post value= Add blog entry > </form> 9

xxx Content-Length 370 ここではパラメータ rss-enclosure-url の値は test action=add-blog-entry&flavor=.

10 Blojsomの処理 1クライアントからリクエストを受信するブログ書き込み画面パラメータ rss-enclosure-url の入力フォーム 10

11 Blojsomの処理 2リクエストの処理とブログへの書き込み処理リクエストからパラメータ rss-enclosure-url の値を変数 rssenclosureurl に格納しブログへの書き込み処理を実施する RSSEnclosurePlugin.java public class RSSEnclosurePlugin implements BlojsomPlugin, BlojsomListener { public static final String RSS_ENCLOSURE_URL = "rss-enclosure-url"; public void processevent(blojsomevent event) { ProcessBlogEntryEvent processblogentryevent = (ProcessBlogEntryEvent) event; //リクエストからパラメータrss-enclosure-urlの値を取り出す String rssenclosureurl = BlojsomUtils.getRequestValue(RSS_ENCLOSURE_URL, processblogentryevent.gethttpservletrequest()); (ブログへの書き込み処理 ) 11

public void processevent(blojsomevent event) { ProcessBlogEntryEvent processblogentryevent = (ProcessBlogEntryEvent) event;

12 Blojsomの処理 3 処理結果をクライアントへ返す書き込み処理を実施後変数 rssenclosureurlの値をレスポンスとしてクライアントに返す RSSEnclosurePlugin.java public class RSSEnclosurePlugin implements BlojsomPlugin, BlojsomListener { public void processevent(blojsomevent event) { //クライアントに値を返す processblogentryevent.getcontext().put(rss_enclosure_url_item, rssenclosureurl); 12

java public class RSSEnclosurePlugin implements BlojsomPlugin, BlojsomListener { public

13 Blojsomの処理 3 処理結果をクライアントへ返すアプリケーションからクライアントへ送信されるHTTPレスポンスは下記のような内容になる HTTPレスポンス HTTP/ OK Server Apache-Coyote/1.1 Pragma no-cache Content-Type text/html;charset=utf-8 Date Fri, 05 Oct GMT Content-Length <html> <head> <tr> <td>url to enclosure</td> <td><input type="text" name="rss-enclosure-url" value="test" size="60" /></td> </tr> 13

1 Pragma no-cache Content-Type text/html;charset=utf-8 Date Fri, 05 Oct 2012 072917 GMT

14 Blojsomの処理 3 処理結果をクライアントへ返す処理完了画面書き込み完了の結果を表示 POSTした内容がそのまま表示される 14

15 攻撃コード攻撃コードのHTTPリクエスト POST /blojsom/blog/default/ HTTP/1.1 Host xxx.xxx Content-Length 370 action=add-blog-entry&flavor=.& rss-enclosure-url="><script>alert(123)</script>& &submit=add+blog+entry 攻撃コードのポイントパラメータ rss-enclosure-url にスクリプトタグを含む値を送信する 15

16 攻撃コード攻撃コードのHTTPリクエストを送信するためのHTML <form action= /blojsom/blog/default/ method= POST > <input type= hidden name= rss-enclosure-url value= "><script>alert(123)</script> > <input type= submit name= post value= Add blog entry > </form> 被害者にこのフォームのリクエストを送信させることでクロスサイトスクリプティング攻撃が成立する魅惑のコンテンツ Click me!! 16

"><script>alert(123)</script> > <input type= submit name= post value= Add blog

17 攻撃コードが実行された際の処理ブログに新しい書き込みを実施した場合の処理フロー 1 クライアントのブラウザからリクエストが送信されアプリケーションが受信する 2 リクエストからパラメータを取り出し処理 (ブログの書き込み)を実施 3 アプリケーションは書き込み結果とともに書き込み内容をクライアントにレスポンスとして送信しクライアントのブラウザに表示される攻撃が実施された際の処理フローは正常な処理とまったく変わらない 3のアプリケーションから送信されるレスポンス内容に注目する 17

み)を実施 3 アプリケーションは書き込み結果とともに書き込み内容をクライアントにレスポンスとして送信し

攻撃コードが実行された際の処理アプリケーションからクライアントに返されるHTTPレスポンス HTTPレスポンス HTTP/1.1 200 OK Server Apache-Coyote/1.

18 攻撃コードが実行された際の処理アプリケーションからクライアントに返されるHTTPレスポンス HTTPレスポンス HTTP/ OK Server Apache-Coyote/1.1 <html> <head> <tr> <td>url to enclosure</td> <td><input type="text" name="rss-enclosure-url" value=""><script>alert(123)</script> size="60" /></td> </tr> <td>url to enclosure</td> <td><input type="text" name="rss-enclosure-url" value= test size="60" /></td> </tr> 挿入された文字列により input タグが閉じられ script タグが挿入された形になるそのためブラウザは script タグ内の Javascript を実行してしまう通常の処理の際のレスポンス 18

value=""><script>alert(123)</script> size="60" /></td> </tr> <td>url to enclosure</td> <td><input type="text"

19 問題点今回のアプリケーションにおける具体的な問題点 HTMLへ出力する際に Javascriptとして解釈される文字列を無害化していないために脆弱性が発生している以下のコーティングガイドに違反している IDS00-J. 信頼境界を越えて渡される信頼できないデータは無害化する上記の問題点に対してどうすべきだったか Javascriptとして解釈される文字列を無害化してから HTMLに出力すべきであった 19

20 修正版コード本脆弱性はバージョン2.32で修正されているブログに新しい書き込みを実施した場合の処理フロー 1 クライアントのブラウザからリクエストが送信されアプリケーションが受信する 2 リクエストからパラメータを取り出し処理 (ブログの書き込み)を実施 3 アプリケーションは書き込み結果とともに書き込み内容をクライアントにレスポンスとして送信しクライアントのブラウザに表示されるこの処理のコードに修正が入っている 20

21 修正版コード RSSEnclosurePlugin.java( 修正前 ) public class RSSEnclosurePlugin implements BlojsomPlugin, BlojsomListener { public void processevent(blojsomevent event) { processblogentryevent.getcontext().put(rss_enclosure_url_item, rssenclosureurl); クライアントに値を返す際 BlojsomUtilsクラスの escapebracketsメソッドを RSSEnclosurePlugin.java( 修正後 ) 呼び出している public class RSSEnclosurePlugin implements BlojsomPlugin, BlojsomListener { public void processevent(blojsomevent event) { processblogentryevent.getcontext().put(rss_enclosure_url_item, BlojsomUtils.escapeBrackets(rssEnclosureURL)); 21

22 修正版コード BlojsomUtilsクラスのescapeBracketsメソッド public static String escapebrackets(string input) { if (input == null) { return null; } String unescaped = replace(input, "<", "<"); unescaped = replace(unescaped, ">", ">"); } return unescaped; 無害化処理として引数 inputの値に含まれる値をエスケープ処理しているエスケープ対象文字列エスケープ処理後文字列 < < > > 22

23 修正版コード修正版コードに対して先ほどの攻撃コードを実行すると下記のようなHTTP レスポンスになりスクリプトが実行されなくなる HTTPレスポンス HTTP/ OK Server Apache-Coyote/1.1 <html> <head> <tr> <td>url to enclosure</td> <td><input type="text" name="rss-enclosure-url" value=""><script>alert(123)</script> size="60" /></td> </tr> エスケープ処理によりスクリプトが実行されなくなる 23

24 実はこの修正では不十分!! クロスサイトスクリプティングに対する無害化を行う際に前述の処理だけでは完全に無害化できないケースが存在する具体的にはHTMLのタグ内への文字列の出力パラメータrss-enclosure-urlに onfocus= javascriptalert(1) という値を挿入することで入力フォームにマウスカーソルを持っていくと Javascriptが動作するパラメータrss-enclosure-urlに " onfocus="javascriptalert(1) を挿入した際のHTTPレスポンス <td>url to enclosure</td> <td> <input type= text name= rss-enclosure-url value= " onfocus="javascriptalert(1) size="60" /></td> </tr> BlojsomUtilsクラスのescapeBracketsメソッドによるエスケープ処理をバイパスできてしまう 24

25 さらに修正次の5 種類の文字をHTMLエンコードするエスケープ対象文字列エスケープ処理後文字列 < < > > & & " ' さらにユーザからの入力値をタグの属性値に埋め込む場合は値全体を (ダブルクオート) 文字で括るそれにより a onmouseover= alert(1); という文字列を挿入させられた場合でも次のようなHTMLが生成されるためJavaScript は実行されない <input type="text" value="a" onmouseover="alert(1);"> 25

26 さらに修正前述を踏まえてescapeBracketsメソッドを修正すると下記のようになる BlojsomUtilsクラスのescapeBracketsメソッド( 追加修正版 ) public static String escapebrackets(string input) { if (input == null) { return null; } String unescaped = replace(input, "<", "<"); unescaped = replace(unescaped, ">", ">"); unescaped = replace(unescaped, " & ", "&"); unescaped = replace(unescaped, " " ", """); unescaped = replace(unescaped, " ", "'"); } return unescaped; 追加されたコード 3つの特殊記号に対するエスケープ処理を追記する 26

27 まとめこの脆弱性から学べるプログラミングの注意点アプリケーションの外部にデータを出力する場合出力先でデータがどのように使用されるかを考慮すべきだった上記への対策データの出力先がWebブラウザの場合想定外の個所に HTML のメタ文字が含まれている場合に備えてHTMLエンコーディングを施す参考 OWASP XSS Filter Evasion Cheat Sheet https// XSS (Cross Site Scripting) Prevention Cheat Sheet https// 27

28 著作権引用や二次利用について本資料の著作権はJPCERT/CCに帰属します本資料あるいはその一部を引用転載再配布する際は引用元名資料名および URL の明示をお願いします記載例引用元一般社団法人 JPCERTコーディネーションセンター Java アプリケーション脆弱性事例解説資料 Blojsom におけるクロスサイトスクリプティングの脆弱性 https// 本資料を引用転載再配布をする際は引用先文書時期内容等の情報を JPCERT コーディネーションセンター広報知らせくださいなおこの連絡により取得した個人情報は別途定めるJPCERT コーディネーションセンターのプライバシーポリシーに則って取り扱います本資料の利用方法等に関するお問い合わせ JPCERTコーディネーションセンター広報担当本資料の技術的な内容に関するお問い合わせ JPCERTコーディネーションセンターセキュアコーディング担当 28

Apache Tomcatにおけるクロスサイトリクエストフォージェリ(CSRF)保護メカニズム回避の脆弱性

Apache Tomcatにおけるクロスサイトリクエストフォージェリ(CSRF)保護メカニズム回避の脆弱性 Japan Computer Emergency Response Team Coordination Center 電子署名者 Japan Computer Emergency Response Team Coordination Center DN c=jp, st=tokyo, l=chiyoda-ku, email=office@jpcert.or.jp, o=japan Computer